Burger King Japón expuso más de 11 millones de registros de clientes en una brecha de datos confirmada, según informó TechRadar el 19 de octubre de 2025. El incidente representa uno de los mayores compromisos de datos en la industria de comida rápida registrados en la región Asia-Pacífico.
La compañía, que opera su programa de fidelización digital en Japón a través de una aplicación propia, habría dejado al descubierto una base de datos con información personal de más de 11 millones de usuarios, según se informó. No se precisaron públicamente los vectores de ataque ni el período durante el cual los datos estuvieron accesibles. La divulgación del incidente se produjo a través de medios especializados y no mediante una comunicación oficial proactiva de la empresa hacia sus clientes, según la información disponible.
Datos confirmados del incidente
- Registros expuestos: más de 11 millones de clientes
- Empresa afectada: Burger King Japón
- Fecha de reporte público: 19 de octubre de 2025
- Sistema comprometido: base de datos del programa de clientes / app de fidelización, según se informó
- Vector de ataque y período de exposición: no confirmados públicamente
Qué se sabe y qué falta confirmar
La información disponible confirma el volumen de registros afectados y la identidad de la empresa, pero no detalla qué categorías de datos personales estuvieron comprometidas —si nombres, correos electrónicos, historiales de compra, datos de pago u otros— ni si el incidente fue producto de un ataque externo, una mala configuración de infraestructura o un acceso interno no autorizado. Tampoco se ha informado si la Comisión de Protección de Información Personal de Japón (PPC), autoridad nacional competente bajo la Ley de Protección de Información Personal (APPI), fue notificada dentro de los plazos legales vigentes. Bajo la APPI reformada, las organizaciones tienen la obligación de reportar brechas que afecten a más de 1.000 personas dentro de los 30 días posteriores a la detección del incidente.
Para las operaciones de Burger King en América Latina —Brasil, México, Argentina y Colombia entre los mercados principales—, este incidente plantea preguntas directas sobre la arquitectura de datos compartida entre franquicias. Si los sistemas de fidelización digitales de la región comparten infraestructura o proveedores con la operación japonesa, las obligaciones de notificación bajo la LGPD brasileña (Autoridade Nacional de Proteção de Dados, con plazo de 72 horas para brechas de riesgo relevante), la LFPDPPP mexicana o la Ley 25.326 argentina entrarían en juego de forma inmediata. Ninguna de estas jurisdicciones ha emitido pronunciamiento al respecto, según la información disponible a la fecha.
El próximo hito crítico es la confirmación —o ausencia— de la notificación formal a la PPC japonesa, cuyo plazo máximo bajo la APPI vence 30 días después de que Burger King Japón haya tomado conocimiento del incidente.
