به گزارش کارگروه حملات سایبری سایبربان؛ برگر کینگ ژاپن (Burger King) نقض اطلاعاتی را که حدود ۱۱.۱۸ میلیون رکورد مرتبط با اعضای برنامه رسمی آن را افشا کرده، تأیید کرد. برگر کینگ اعلام کرد که یک طرف خارجی به سیستمی که برای مدیریت اطلاعات اعضای برنامه استفاده می‌شود، دسترسی غیرمجاز پیدا کرده است.
شرکت این حادثه را در ۱۵ اکتبر ۲۰۲۶ فاش کرد. طبق اطلاعیه آن، دسترسی غیرمجاز بین ۲ اکتبر و ۷ اکتبر رخ داده و شرکت نشت اطلاعات را در ۱۳ اکتبر تأیید کرد. این افشا مربوط به سوابق اعضا است، نه تعداد تأیید شده افراد منحصر به فرد.
اطلاعات افشا شده شامل شناسه‌های اعضا، آدرس‌های ایمیل، نوع ثبت نام، استان، جنسیت، تاریخ تولد، نام کامل به کانجی و کانا و شماره تلفن‌ها می‌شود. فیلدهای آسیب‌دیده همچنین شامل این است که آیا اعضا از سفارش موبایلی استفاده کرده‌اند یا خیر و اینکه آیا آدرس‌های ایمیل آنها تأیید شده است یا خیر.
نحوه واکنش برگر کینگ
برگر کینگ عنوان کرد که دسترسی غیرمجاز را مسدود کرده، یک تیم واکنش تشکیل داده و به کمیسیون حفاظت از اطلاعات شخصی ژاپن اطلاع داده است. همچنین در حال ارسال ایمیل به اعضای آسیب‌دیده در مورد این حادثه است.
کارشناسان خارجی در حال کمک به بررسی علت و نحوه ورود اولیه مهاجم به سیستم هستند. برگر کینگ ژاپن به طور عمومی آسیب‌پذیری مورد سوءاستفاده را شناسایی یا تأیید نکرده است. جزئیات افشا شده، باج‌افزار، نفوذ به سیستم پرداخت یا ارتباط با حمله دیگری را اثبات نمی‌کند.
گزارش کارشناسان همچنین به برنامه‌های این شرکت برای تقویت امنیت و نظارت بر سیستم در حین همکاری با متخصصان خارجی اشاره می‌کند. این اقدامات به حفاظت در آینده می‌پردازد، اما تحقیقات هنوز باید مشخص کند که چگونه دسترسی رخ داده و کدام کنترل‌ها شکست خورده‌اند.
BK Japan اعلام کرد که هیچ آسیب ثانویه، از جمله استفاده جعلی از اطلاعات افشا شده، تأیید نشده است. با این حال، ترکیب نام‌ها، تاریخ تولد، شماره تلفن‌ها و آدرس‌های ایمیل، خطر آشکاری از پیام‌های فیشینگ متقاعدکننده ایجاد می‌کند.
یک کلاهبردار می‌تواند از این جزئیات برای واقعی جلوه دادن بازپرداخت جعلی برگر کینگ، بررسی حساب یا هشدار امنیتی استفاده کند. پیام‌ها می‌توانند کاربران را به یک صفحه ورود جعلی هدایت کنند یا از آنها بخواهند جزئیات پرداخت را ارائه دهند. اینها تهدیدات بالقوه پیگیری هستند، نه فعالیت تأیید شده در این مورد.
عدم وجود سوءاستفاده تأیید شده، سوابق فاش شده را بی‌ضرر نمی‌کند، به خصوص زمانی که مهاجمان می‌توانند چندین جزئیات شخصی را با هم ترکیب کنند تا یک پیام برای گیرندگان باورپذیرتر به نظر برسد.
نقض داده‌های رستوران می‌تواند اطلاعات شخصی را بدون افشای شماره کارت افشا کند. اخبار امنیت سایبری پیش از این در مورد نقض مک‌دونالد مربوط به اطلاعات تماس مشتری در کره جنوبی و تایوان گزارش داده بود، در حالی که اطلاعات پرداخت در آن گنجانده نشده بود.
اعضای آسیب‌دیده باید با ایمیل‌ها، پیامک‌ها و تماس‌های غیرمنتظره‌ای که ادعا می‌کنند نماینده برگر کینگ هستند، با احتیاط رفتار کنند. به جای دنبال کردن یک لینک پیام، آنها باید برنامه رسمی را باز یا آدرس وب‌سایت شرکت را مستقیماً تایپ کنند تا هرگونه اعلان حساب را بررسی کنند.
اعضا نباید در پاسخ به تماس‌های ناخواسته، رمزهای عبور، جزئیات پرداخت یا کدهای تأیید را به اشتراک بگذارند. هر کسی که اعتبارنامه‌ها را در یک صفحه مشکوک وارد کرده است، باید رمز عبور آسیب‌دیده را تغییر داده و آن را در هر جای دیگری که دوباره استفاده شده است، جایگزین کند.
در حال حاضر، مشکل اصلی تأیید شده، افشای اطلاعات اعضای برنامه است. روش دسترسی اولیه و علت فنی کامل همچنان در دست بررسی است. به‌روزرسانی‌های آینده باید این شکاف‌ها را بدون اشتباه گرفتن یافته‌های تأیید شده با خطرات احتمالی، روشن کنند.
