HIBP يؤكد: اختراق Burger King Russia طال 3.2 مليون مستخدم

أضافت خدمة Have I Been Pwned (HIBP)، التي يديرها الباحث الأمني Troy Hunt، بيانات 3.2 مليون عميل من Burger King Russia إلى قاعدة بياناتها، لتؤكد بذلك حجم الهجوم الذي ظهرت تفاصيله أول مرة في عام 2024.

جاءت البيانات من اختراق منصة Mindbox، وهي منصة التسويق التي تستخدمها سلسلة Burger King في روسيا. وقع الهجوم في أغسطس 2024، وأقرّت الشركة المشغّلة للمطاعم به علنًا بعد شهرين، في أكتوبر.

ما الذي تضمنته البيانات المسرّبة

بحسب HIBP، تشمل البيانات المكشوفة أسماء العملاء وتواريخ الميلاد وعناوين البريد الإلكتروني وأرقام الهواتف، إلى جانب الجنس والموقع الجغرافي التقريبي. وتمتد البيانات لأكثر من ست سنوات، إذ يعود أقدم السجلات إلى مايو 2018، أي إنها تشمل حسابات أُنشئت قبل الهجوم بوقت طويل.

تحدثت تقارير عام 2024 عن أكثر من 5.6 مليون سطر من البيانات، وقالت إن التسريب ضم أيضًا الطبق المفضل للعميل وتواريخ الطلبات السابقة، لكن HIBP لا تذكر هذه الحقول.

موقف الشركة

عندما أصبحت الحادثة علنية في أكتوبر 2024، قالت Burger King لوكالة الأنباء الروسية TASS إن بيانات العملاء "قد تكون أيضًا ضمن المتأثرين بالهجوم"، مع التشديد على أن الأمر لا يتعلق ببيانات الدفع أو جواز السفر.

وأضافت الشركة: "منصة Mindbox والأطراف الثالثة الأخرى لا تملك وصولًا إلى المعلومات الشخصية أو بيانات جواز السفر أو الدفع الخاصة بعملاء Burger King".

صلة باختراقات أخرى

ربط موقع Xakep الروسي المتخصص في الأمن السيبراني، نقلًا عن مصادره، اختراق Mindbox بعدة حوادث أخرى ونسبها إلى مهاجم واحد. ومن بين الشركات التي قيل إنها تأثرت سلسلة Detsky Mir، أكبر متجر تجزئة لمنتجات الأطفال في البلاد، حيث قيل إن أكثر من مليون سجل كان ضمن التسريب.

تشير الفجوة التي استمرت عامين بين الهجوم وتأكيد حجمه إلى مشكلة مألوفة: البيانات الشخصية التي تجمعها منصات التسويق وبرامج الولاء تبقى في كثير من الأحيان دون انتباه لسنوات، وبحلول الوقت الذي يعلم فيه المتضررون، تكون المعلومات قد انتشرت منذ وقت طويل. تكفي الأسماء وتواريخ الميلاد وأرقام الهواتف لصياغة رسائل تصيّد مقنعة أو لاختبار كلمات مرور مسروقة على خدمات أخرى، حتى من دون بيانات الدفع.