به دلیل نقض اطلاعات، برگر کینگ ژاپن بیش از 11 میلیون سوابق مشتری را افشا می کند

برگر کینگ ژاپن نقضی را فاش کرد که بر 11.18 میلیون سوابق مشتری از پلتفرم اپلیکیشن موبایل خود تأثیر گذاشته است

داده‌های افشا شده شامل جزئیات شخصی و تاریخچه سفارش بود، اگرچه اطلاعات پرداخت به خطر نیفتاد

شرکت هیچ سوء استفاده تایید شده ای را گزارش نکرد و در حین بررسی نفوذ به تنظیم کننده ها اطلاع داد زیرمجموعه ژاپنی Burger King تایید کرده است که از نقض اطلاعات رنج می برد و به دلیل از دست دادن داده های حساس میلیون ها مشتری عذرخواهی کرده است.

برگر کینگ ژاپن در یک نامه اخطار نقض، تاریخ دقیق نقض و همچنین ماهیت داده هایی را که به سرقت رفته بود را تأیید کرد.

این شرکت در نامه می‌گوید: «ما یک دسترسی غیرمجاز شخص ثالث به سیستمی که اطلاعات اعضا را برای برنامه رسمی ما مدیریت می‌کند شناسایی کردیم و تحقیقاتی را انجام دادیم». "در نتیجه، در روز سه شنبه، 13 اکتبر 2026، مشخص شد که دسترسی غیرمجاز بین جمعه، 2 اکتبر 2026، و چهارشنبه، 7 اکتبر 2026، رخ داده است که منجر به درز اطلاعات اعضا شده است. ما بلافاصله پس از اطلاع از دسترسی غیرمجاز، دسترسی از منبع مورد نظر را مسدود کردیم."

پژواک روسیه

تحقیقات نشان داد که 11.18 میلیون سوابق مشتری کشف شده است که بیشتر اطلاعات مربوط به افرادی بود که از برنامه رسمی گوشی هوشمند شرکت استفاده می کردند.

این شامل نام افراد، تاریخ تولد، جنسیت، آدرس ایمیل، شماره تلفن و تاریخچه سفارش است. در حالی که کارت اعتباری و سایر داده‌های پرداخت در معرض دید قرار نگرفتند، اطلاعات شناسایی شخصی (PII) هنوز برای راه‌اندازی ایمیل‌های فیشینگ قانع‌کننده و گسترش به خطرات ایمیل تجاری (BEC)، بدافزارها یا حتی حملات باج‌افزار کافی است.

برگر کینگ ژاپن تاکید کرد که هنوز هیچ مدرکی مبنی بر سوء استفاده از داده ها وجود ندارد و افزود که این نقض به کمیسیون حفاظت از اطلاعات شخصی کشور (PPC) گزارش شده است.

در ادامه این بیانیه آمده است: «ما صمیمانه از ناراحتی و نگرانی بزرگی که این وضعیت برای مشتریان ما و سایر دست اندرکاران ایجاد کرده است عذرخواهی می کنیم. در حال حاضر هیچ آسیب ثانویه ای مانند استفاده تقلبی ناشی از این حادثه تایید نشده است.

به نظر می رسد غذای برگر کینگ تنها چیز خوشمزه این شرکت نیست. مجرمان سایبری نیز عاشق نفوذ و سرقت اطلاعات هستند. برای مثال، در سال 2024، بازوی روسی برگر کینگ به دست عوامل تهدید ناشناس دچار نقض اطلاعات شد و در اواخر سپتامبر سال جاری، این اطلاعات به صورت آنلاین به بیرون درز کرد.

در اکتبر 2024، برگر کینگ به رسانه های محلی درباره حمله به Mindbox، یک پلت فرم اتوماسیون بازاریابی داخلی که شرکت از آن استفاده می کرد، گفت. از طریق Mindbox، عوامل تهدید موفق به دستیابی به اطلاعات حساس شرکت، از جمله اطلاعات متعلق به مشتریان شدند.

این شرکت در آن زمان گفت: «در میان قربانیان این حمله ممکن است داده‌های مشتریان رستوران زنجیره‌ای برگر کینگ نیز باشد. «برگر کینگ تأیید می‌کند که در میان داده‌های شخصی، که صحت آنها در حال روشن شدن است، هیچ اطلاعاتی در مورد جزئیات پرداخت وجود ندارد: اطلاعات باز در مورد تراکنش‌ها توسط اشخاص ثالث مخابره یا ذخیره نمی‌شود.»

درست مانند حادثه ژاپن، روسیه درباره جزئیات حمله یا چگونگی انجام آن صحبت نکرد. حملات زنجیره تامین شخص ثالث رایج و اغلب مخرب هستند و بر شرکت های متعددی که از ابزارهای مشابه استفاده می کنند تأثیر می گذارد. برای Mindbox، با این حال، هیچ گزارشی از قربانیان اضافی وجود ندارد.

حملات زنجیره تامین

Mindbox در اعلام نتایج سال 2024 خود گفت که این حمله "اولین حادثه جدی امنیت اطلاعات" آن بود که "به لطف ابزارهای تشخیص تهدید" به سرعت شناسایی و مهار شد.

پس از این نقض، Mindbox گفت که "نقاطی را پیدا کرده و حذف کرده است که در آن کارمندان بدون حقوق دسترسی به داده های حساس می توانند به طور غیرمستقیم آنها را به دست آورند" و اشاره کرد که این حمله در واقع یک حمله مبتنی بر هویت بود تا یک سوء استفاده روز صفر.

این شرکت همچنین «فرایندهای توسعه را تغییر داد تا چنین نقاطی را قبل از ورود به محصول پیدا کند» و سیستم نقش داخلی Mindbox را اصلاح کرد تا مجوزها را سخت‌تر و دقیق‌تر کند. همچنین سناریوهای دسترسی به پروژه را محدود کرد، مکانیزمی را برای تأیید دسترسی توسط کارمند دیگری معرفی کرد و احراز هویت اجباری دو عاملی را از جمله موارد دیگر معرفی کرد.

آیا I Been Pwned؟، وب‌سایتی که اطلاعات دزدیده شده در هک‌های مختلف را جمع‌آوری می‌کند و به افراد کمک می‌کند تا بدانند آیا آدرس ایمیل و سایر اطلاعات آنها در گذشته به خطر افتاده است یا خیر، Burger King Russia را در فهرست خود دارد، اما Burger King Japan را ندارد.

از طریق Bleeping Computer