HIBP-ն հաստատել է՝ Burger King Russia-ի արտահոսքը վերաբերում է 3,2 մլն օգտատիրոջ

Տվյալների արտահոսքերի մասին ծանուցող Have I Been Pwned (HIBP) ծառայությունը, որը ղեկավարում է անվտանգության հետազոտող Troy Hunt-ը, իր բազայում ավելացրել է Burger King Russia-ի 3,2 միլիոն հաճախորդի տվյալներ։ Այսպիսով հաստատվել է 2024 թվականին հայտնի դարձած հարձակման ծավալը։

Տվյալները ստացվել են Mindbox-ի՝ Ռուսաստանում Burger King ցանցի մարքեթինգային հարթակի կոտրման հետևանքով։ Հարձակումը տեղի է ունեցել 2024 թվականի օգոստոսին, իսկ ռեստորանների օպերատորը դա հրապարակավ ընդունել է երկու ամիս անց՝ հոկտեմբերին։

Ինչ տվյալներ են արտահոսել

Ըստ HIBP-ի՝ բացահայտված տվյալները ներառում են հաճախորդների անունները, ծննդյան ամսաթվերը, էլեկտրոնային փոստի հասցեները և հեռախոսահամարները, ինչպես նաև սեռը և մոտավոր աշխարհագրական դիրքը։ Տվյալներն ընդգրկում են ավելի քան վեց տարի՝ ամենահին գրառումները թվագրվում են 2018 թվականի մայիսով, այսինքն՝ խոսքը նաև հարձակումից շատ առաջ ստեղծված հաշիվների մասին է։

2024 թվականի հրապարակումները խոսում էին 5,6 միլիոնից ավելի տվյալների տողերի մասին և նշում, որ արտահոսքում եղել են նաև հաճախորդի ամենասիրելի ուտեստը և նախորդ պատվերների ամսաթվերը։ HIBP-ն այդ դաշտերը չի հիշատակում։

Ընկերության դիրքորոշումը

Երբ միջադեպը հրապարակային դարձավ 2024 թվականի հոկտեմբերին, Burger King-ը ռուսական TASS լրատվական գործակալությանը հայտնել է, որ հաճախորդների տվյալները «կարող են նույնպես լինել հարձակումից տուժածների թվում»՝ ընդգծելով, որ խոսքը վճարային կամ անձնագրային տվյալների մասին չէ։

«Mindbox հարթակը և այլ երրորդ կողմեր չունեն հասանելիություն Burger King-ի հաճախորդների անձնագրային կամ վճարային տեղեկատվությանը»,— հայտարարել է ընկերությունը։

Կապը այլ կոտրումների հետ

Ռուսական Xakep կիբերանվտանգության հրատարակությունը, հղում անելով իր աղբյուրներին, Mindbox-ի կոտրումը կապել է մի քանի այլ միջադեպերի հետ և վերագրել դրանք մեկ հարձակվողի։ Հնարավոր տուժած ընկերությունների թվում նշվում է նաև Detsky Mir-ը՝ երկրի մանկական ապրանքների խոշորագույն ռիթեյլերը, որտեղ, ըստ հաղորդումների, խոսքը միլիոնից ավելի գրառումների մասին է։

Հարձակման և դրա ծավալի հաստատման միջև երկու տարվա ընդմիջումը մատնանշում է ծանոթ խնդիր. մարքեթինգային և լոյալության հարթակների հավաքած անձնական տվյալները հաճախ տարիներ շարունակ մնում են աննկատ, և երբ տուժածներն իմանում են, տեղեկատվությունն արդեն երկար ժամանակ շրջանառության մեջ է։ Անունը, ծննդյան ամսաթիվը և հեռախոսահամարը բավարար են համոզիչ ֆիշինգային հաղորդագրություններ կազմելու կամ գողացված գաղտնաբառերը այլ ծառայություններում փորձարկելու համար՝ նույնիսկ առանց վճարային տվյալների։