Burger King Japan akhirnya buka suara soal kebocoran data yang menimpa aplikasi resminya. Operator jaringan restoran cepat saji itu mengonfirmasi bahwa 11,18 juta record data anggota aplikasi terekspos setelah terjadi akses tidak sah ke server yang mengelola data keanggotaan.
Pengumuman resmi keluar pada 15 Oktober 2026. Dari investigasi internal, perusahaan menyimpulkan akses tidak sah berlangsung antara 2 Oktober sampai 7 Oktober 2026, dan kepastian bahwa data memang keluar baru didapat pada 13 Oktober. Begitu aktivitas mencurigakan terdeteksi, akses dari sumber tersebut langsung diblokir.
Apa saja yang bocor
Isi kebocorannya cukup lengkap untuk bikin repot. Menurut pengumuman perusahaan, data yang terekspos meliputi:
- ID member dan alamat email
- Nama lengkap dalam kanji dan kana
- Tanggal lahir, jenis kelamin, dan prefektur
- Nomor telepon
- Jenis pendaftaran dan status verifikasi email
- Penanda ada atau tidaknya riwayat pemesanan lewat aplikasi
Yang tidak ikut bocor: nomor kartu kredit. Burger King Japan menyebut sistemnya memang tidak menyimpan nomor kartu, jadi data pembayaran tidak terdampak. Soal password login, perusahaan menyatakan belum ada bukti kebocoran, tapi masih masuk lingkup investigasi.
Satu hal yang sering salah dibaca di pemberitaan: angka 11,18 juta itu merujuk ke jumlah record, bukan jumlah orang unik. Satu pelanggan bisa muncul lebih dari sekali di dalamnya. Perusahaan belum memisahkan angka individu yang benar-benar terdampak.
Sudah dilaporkan, metode masuknya belum jelas
Burger King Japan membentuk tim respons insiden, memasang penanganan sementara, dan melaporkan kejadian ini ke Komisi Perlindungan Informasi Pribadi Jepang (PPC). Pelanggan terdampak dihubungi lewat email, sementara investigasi soal bagaimana penyerang masuk masih dikerjakan bersama spesialis eksternal.
Perusahaan belum mengungkap celah spesifik yang dipakai, belum menyebut apakah kredensial curian berperan, dan menyatakan belum ada bukti penyalahgunaan data atau kerusakan lanjutan. Jaringan Burger King sendiri punya hampir 20.000 gerai global, dengan sekitar 350 di antaranya di Jepang.
Ini bukan insiden tunggal
Yang membuat kasus ini penting bukan cuma angkanya, tapi polanya. Jepang sedang kena gelombang kebocoran data beruntun sepanjang tahun ini: Times Car, East Japan Railway, Yamaha Motor, Daiwa Securities, Yakiniku King, Keio, Tokyo Metro, Nikkei, IDC Frontier, Sakura Internet, Nihon Kotsu, sampai KDDI.
Peneliti Macnica, Yutaka Sejiyama, mencatat 119 insiden yang melibatkan pencurian atau kebocoran data pribadi sepanjang 2026. Kasus yang diduga berasal dari celah situs dan aplikasi naik dari rata-rata 6 per bulan pada semester pertama, menjadi 23 per bulan sejak Juli.
Sejiyama menilai penyerang kini memakai AI untuk memetakan celah yang spesifik pada tiap sistem, sehingga serangan bisa jalan dengan kecepatan dan skala yang sulit disaingi tim keamanan manusia. Efek sampingnya, ambang masuk penyerang ikut turun karena keahlian teknis yang dibutuhkan jadi lebih sedikit.
Masalah kapasitas memperburuk semuanya. Survei Japan Users Association of Information Systems terhadap lebih dari 950 perusahaan menemukan 78,4% perusahaan dengan omzet 100 miliar–1 triliun yen kekurangan tenaga keamanan siber.
Risiko yang mengintai pengguna
Kombinasi nama, tanggal lahir, nomor telepon, dan email adalah bahan bakar phishing paling meyakinkan. Penyerang bisa menyusun pesan yang menyebut nama depan, menawarkan refund, atau meminta verifikasi akun dengan nada resmi. Modus yang paling mungkin muncul: permintaan OTP, tautan “pulihkan akun”, dan lampiran tagihan palsu.
Burger King Japan sendiri meminta pelanggan tidak membuka tautan atau lampiran dari pesan mencurigakan, dan menghubungi layanan resmi lewat kanal yang diverifikasi sendiri, bukan lewat balasan pesan.
Yang perlu dicatat dari sisi Indonesia
Pola yang sama gampang terjadi di sini. Aplikasi keanggotaan restoran, ritel, dan e-commerce menyimpan data yang mirip: nomor telepon, tanggal lahir, riwayat transaksi. Di bawah UU PDP No. 27/2022, pengendali data wajib memberi tahu subjek data dan lembaga pengawas dalam 3×24 jam sejak mengetahui kebocoran. Publikasi 11,18 juta record ini jadi pengingat bahwa kewajiban itu bukan formalitas — dua minggu jeda antara akses pertama (2 Oktober) dan konfirmasi (13 Oktober) sudah cukup untuk menyusun kampanye phishing.
