شرکت BK Japan، مدیریت رستوران‌های برگر کینگ در ژاپن، تایید کرد که اطلاعات شخصی حدود ۱۱.۱۸ میلیون عضو اپلیکیشن رسمی این مجموعه به سرقت رفته است. این نشت داده‌ها در بازه زمانی ۲ تا ۷ اکتبر رخ داده و پس از دسترسی غیرمجاز یک شخص ثالث به سیستم عضویت این شرکت به وقوع پیوسته است.
جزئیات داده‌های افشا شده
بر اساس بیانیه منتشر شده در ۱۵ اکتبر، داده‌های سرقت شده شامل موارد زیر است:
- نام کاربران (به هر دو خط کانجی و کانا)
- شماره تلفن و آدرس ایمیل
- تاریخ تولد، جنسیت و استان محل سکونت
- شناسه عضویت (Member ID)
- جزئیات ثبت‌نام و وضعیت تایید ایمیل
- اطلاعات مربوط به سفارشات موبایلی (تنها وضعیت داشتن سابقه سفارش، بدون جزئیات اقلام خریداری شده)
نکته قابل توجه این است که این شرکت اعلام کرده شماره کارت‌های اعتباری در سیستم متاثر ذخیره نشده بودند و هیچ مدرکی مبنی بر نشت رمزهای عبور (Passwords) نیز یافت نشده است.
اقدامات اصلاحی و واکنش‌ها
پس از شناسایی دسترسی غیرمجاز، BK Japan اتصالات مربوط به منبع حمله را مسدود کرده و یک تیم پاسخ به حادثه تشکیل داده است. این شرکت موضوع را به کمیسیون حفاظت از اطلاعات شخصی ژاپن گزارش کرده و در حال همکاری با متخصصان امنیت برای شناسایی دقیق نحوه نفوذ عامل تهدید است.
تحلیل ریسک و تهدیدات ثانویه
کارشناسان امنیتی هشدار می‌دهند که افشای اطلاعات شناسایی شخصی (PII) مانند نام، شماره تلفن و تاریخ تولد، بستر را برای حملات Phishing بسیار متقاعدکننده‌تر فراهم می‌کند. با داشتن این داده‌ها، مهاجمان می‌توانند خود را به جای پشتیبانی برگر کینگ جا بزنند و کاربران را از طریق صفحات جعلی تأیید هویت، به سرقت اطلاعات حساس‌تر ترغیب کنند.
در همین راستا، توصیه می‌شود سازمان‌ها برای کاهش اثرات چنین حوادثی، استراتژی‌های زیر را به کار گیرند:
- کاهش حجم داده‌های جمع‌آوری شده از کاربران (Data Minimization)
- محدود کردن دسترسی به پایگاه داده‌های اعضا
- پیاده‌سازی سیستم‌های شناسایی برای رصد بازیابی‌های انبوه و غیرمعمول داده‌ها (Bulk Retrieval Detection)
- بهبود فرآیندهای بازیابی حساب به‌گونه‌ای که تنها با داشتن تاریخ تولد یا شماره تلفن، هویت کاربر تایید نشود.
