Et datainnbrudd hos Burger King i Japan har eksponert 11,18 millioner kundeoppføringer etter at angripere fikk tilgang til et system som inneholdt medlemsdata fra selskapets smarttelefonapp. Den kompromitterte informasjonen omfattet personopplysninger, kontaktinformasjon og bestillingshistorikk.
Burger King Japan bekreftet lekkasjen etter en etterforskning som ble avsluttet 13. oktober. Ifølge selskapet fant den uautoriserte tilgangen sted mellom 2. og 7. oktober 2026.
Angripere fikk tilgang til appmedlemmers personopplysninger
Det berørte systemet inneholdt informasjon om brukere av Burger King Japans offisielle smarttelefonapp. De eksponerte opplysningene omfattet navn, fødselsdatoer, kjønn, e-postadresser, telefonnumre og bestillingshistorikk.
Den kompromitterte serveren inneholdt imidlertid ikke kundenes kredittkortnumre. Selskapet opplyste også at etterforskerne ikke fant bevis for at angriperne hadde fått tilgang til påloggingsopplysninger.
Det rapporterte antallet gjelder kundeoppføringer. Det betyr ikke nødvendigvis at hendelsen berørte 11,18 millioner forskjellige personer.
Selskapet blokkerer tilgang og undersøker hvordan angriperne kom inn
Burger King Japan opplyste at selskapet umiddelbart blokkerte tilgangen fra den identifiserte kilden etter å ha oppdaget innbruddet. Deretter bekreftet selskapet at den uautoriserte aktiviteten hadde ført til en lekkasje av medlemsinformasjon.
Selskapet offentliggjorde funnene i en melding 15. oktober og beklaget overfor kundene. Det rapporterte også hendelsen til Japans kommisjon for beskyttelse av personopplysninger.
Samtidig bistår eksterne cybersikkerhetsspesialister med å undersøke hvordan angriperne kom seg inn i systemet. Selskapet har ennå ikke offentlig identifisert den opprinnelige tilgangsmetoden.
På tidspunktet for kunngjøringen opplyste Burger King Japan at selskapet ikke hadde bekreftet noen påfølgende svindelaktivitet eller andre sekundære skadevirkninger.
Kunder advares mot forsøk på identitetsetterligning
Etter datainnbruddet hos Burger King oppfordret selskapet kundene til å være oppmerksomme på mistenkelige e-poster, tekstmeldinger og telefonsamtaler.
Kundene bør særlig være forsiktige med uventede henvendelser fra avsendere som hevder å representere Burger King Japan. Selskapet frarådet å åpne mistenkelige vedlegg, følge ukjente lenker eller oppgi medlemsinformasjon og passord.
De eksponerte kontaktopplysningene og kjøpshistorikken kan hjelpe kriminelle med å gjøre forsøk på identitetsetterligning mer overbevisende. Selskapet har imidlertid ikke bekreftet at slik aktivitet har funnet sted.
Hendelsen øker bekymringen for cybersikkerheten i Japan
Avsløringen kommer etter cybersikkerhetshendelser som har rammet flere store japanske virksomheter, inkludert Nikkei, IDC Frontier, Keio og Times Car.
Forskeren Yutaka Sejiyama har registrert 119 hendelser som involverer tyveri eller eksponering av personopplysninger i Japan i år. Funnene hans fremhever angripernes forsøk på å identifisere svakheter i nettsteder og programmeringsgrensesnitt (API-er).
Disse omfatter svikt i tilgangskontroll, konfigurasjonsfeil, svakheter i autentisering og kjente programvaresårbarheter. Etterforskerne har imidlertid ikke fastslått om noen av disse metodene forårsaket innbruddet hos Burger King Japan.
0 responses to “Datainnbrudd hos Burger King eksponerer 11 millioner oppføringer i Japan”