HIBP מאשר: פרצת הנתונים ב-Burger King Russia פגעה ב-3.2 מיליון לקוחות

שירות ההתראות על פרצות נתונים Have I Been Pwned (HIBP), שמפעיל חוקר האבטחה טרוי האנט, הוסיף למאגר שלו את הנתונים של 3.2 מיליון לקוחות Burger King Russia. בכך אושר סופית היקף המתקפה שנודעה כבר ב-2024.

הנתונים מגיעים מפרצה ב-Mindbox, פלטפורמת השיווק של רשת Burger King ברוסיה. המתקפה התרחשה באוגוסט 2024, ומפעילת המסעדות אישרה אותה בפומבי כעבור חודשיים, באוקטובר.

מה כללו הנתונים שהודלפו

לפי HIBP, המידע שנחשף כולל שמות לקוחות, תאריכי לידה, כתובות דואר אלקטרוני ומספרי טלפון, וכן מין ומיקום גיאוגרפי משוער. הנתונים משתרעים על פני יותר משש שנים, כשהרשומות הוותיקות ביותר מתוארכות למאי 2018 — כלומר מדובר גם בחשבונות שנפתחו זמן רב לפני המתקפה עצמה.

דיווחים מ-2024 דיברו על יותר מ-5.6 מיליון שורות נתונים וטענו כי הן כללו גם את המנה האהובה על הלקוח ותאריכי הזמנות קודמות. HIBP אינה מזכירה שדות אלה.

תגובת החברה

כאשר האירוע נחשף באוקטובר 2024, מסרה Burger King לסוכנות הידיעות TASS כי ייתכן שנתוני הלקוחות "נמנים גם הם עם הנפגעים מהמתקפה", תוך הדגשה שלא מדובר במידע תשלום או בדרכון.

"פלטפורמת Mindbox וגורמים שלישיים אחרים אינם נגישים למידע האישי, הדרכון או אמצעי התשלום של לקוחות Burger King", נמסר מהחברה.

קשר לפרצות נוספות

האתר הרוסי לאבטחת סייבר Xakep קשר, על פי מקורותיו, בין הפרצה ב-Mindbox לכמה אירועים נוספים וייחס אותם לתוקף יחיד. בין החברות שנפגעו לכאורה גם Detsky Mir, רשת הקמעונאות הגדולה ברוסיה למוצרי ילדים, שבה דווח על יותר ממיליון רשומות.

הפער של שנתיים בין המתקפה לבין אישור היקפה ממחיש בעיה מוכרת: מידע אישי שנאסף על ידי פלטפורמות שיווק ומועדוני לקוחות נותר לעיתים שנים בלי שמישהו ישים לב, ועד שהנפגעים לומדים על כך, המידע כבר נמצא בסחרור זמן רב. שמות, תאריכי לידה ומספרי טלפון מספיקים כדי לבנות הודעות פישינג משכנעות או לבדוק סיסמאות שנגנבו בשירותים אחרים — גם בלי פרטי תשלום.