Et databrud hos Burger King i Japan har eksponeret 11,18 millioner kundeposter, efter at angribere fik adgang til et system med medlemsdata fra virksomhedens smartphoneapp. De kompromitterede oplysninger omfattede personoplysninger, kontaktinformation og bestillingshistorik.
Burger King Japan bekræftede lækagen efter en undersøgelse, der blev afsluttet den 13. oktober. Ifølge virksomheden fandt den uautoriserede adgang sted mellem den 2. og 7. oktober 2026.
Angribere fik adgang til appmedlemmers personoplysninger
Det berørte system indeholdt oplysninger om brugere af Burger King Japans officielle smartphoneapp. De eksponerede oplysninger omfattede navne, fødselsdatoer, køn, e-mailadresser, telefonnumre og bestillingshistorik.
Den kompromitterede server indeholdt dog ikke kundernes kreditkortnumre. Virksomheden oplyste også, at efterforskerne ikke fandt beviser for, at angriberne havde fået adgang til loginoplysninger.
Det rapporterede antal henviser til kundeposter. Det betyder ikke nødvendigvis, at hændelsen berørte 11,18 millioner forskellige personer.
Virksomheden blokerer adgang og undersøger angrebsvejen
Burger King Japan oplyste, at virksomheden straks blokerede adgangen fra den identificerede kilde efter at have opdaget indbruddet. Efterfølgende bekræftede virksomheden, at den uautoriserede aktivitet havde resulteret i en lækage af medlemsoplysninger.
Virksomheden offentliggjorde resultaterne i en meddelelse den 15. oktober og undskyldte over for kunderne. Den rapporterede også hændelsen til Japans kommission for beskyttelse af personoplysninger.
Samtidig hjælper eksterne cybersikkerhedsspecialister med at undersøge, hvordan angriberne fik adgang til systemet. Virksomheden har endnu ikke offentligt identificeret den oprindelige adgangsmetode.
På tidspunktet for meddelelsen oplyste Burger King Japan, at virksomheden ikke havde bekræftet nogen efterfølgende svigagtig brug eller andre følgeskader.
Kunder advares mod forsøg på identitetsefterligning
Efter databruddet hos Burger King opfordrede virksomheden kunderne til at være opmærksomme på mistænkelige e-mails, sms-beskeder og telefonopkald.
Kunder bør især være forsigtige med uventede henvendelser fra afsendere, der hævder at repræsentere Burger King Japan. Virksomheden frarådede at åbne mistænkelige vedhæftede filer, følge ukendte links eller oplyse medlemsoplysninger og adgangskoder.
De eksponerede kontaktoplysninger og købshistorikker kan hjælpe kriminelle med at gøre forsøg på identitetsefterligning mere overbevisende. Virksomheden har dog ikke bekræftet, at sådan aktivitet har fundet sted.
Hændelsen øger bekymringen for cybersikkerheden i Japan
Afsløringen følger efter cybersikkerhedshændelser, der har involveret flere store japanske virksomheder, herunder Nikkei, IDC Frontier, Keio og Times Car.
Forskeren Yutaka Sejiyama har registreret 119 hændelser, der involverer tyveri eller eksponering af personoplysninger i Japan i år. Hans resultater fremhæver angribernes forsøg på at identificere svagheder i hjemmesider og programmeringsgrænseflader (API’er).
Disse omfatter fejl i adgangskontrol, konfigurationsfejl, svagheder i autentificering og kendte softwaresårbarheder. Efterforskerne har dog ikke fastslået, om nogen af disse metoder forårsagede indbruddet hos Burger King Japan.
0 svar til “Databrud hos Burger King eksponerer 11 millioner poster i Japan”