Burger King Japonya'da uygulama üyelerinin bilgileri sızdı, 11 milyondan fazla kişi etkilendi

Burger King’in Japonya şirketi, 15 Ekim’de yayımladığı duyuruda resmi mobil uygulamasının üye bilgilerini yöneten sisteme üçüncü bir tarafın yetkisiz erişim sağladığını ve üye bilgilerinin dışarı sızdığını açıkladı. Şirketin incelemesine göre erişim 2 Ekim ile 7 Ekim arasında gerçekleşti, sızıntı 13 Ekim’de doğrulandı. Etkilenen üye sayısı yaklaşık 11,18 milyon. Burger King’in Japonya’da yaklaşık 350 restoranı bulunuyor.

Duyuruya göre sızan bilgiler arasında üyelik numarası, ad ve soyad, e-posta adresi, telefon numarası, doğum tarihi, cinsiyet, yaşanılan il, üyelik kayıt türü, mobil sipariş kullanıp kullanmadığı ve e-posta adresinin doğrulanıp doğrulanmadığı yer alıyor. Şirket, kart numaralarının bu sistemde tutulmadığını ve parolaların ele geçirildiğine dair bir iz bulunmadığını belirtti. Şu ana kadar bilgilerin kötüye kullanıldığı doğrulanmış bir vaka yok.

Burger King Japonya, erişimin geldiği kaynağı fark eder etmez engellediğini, geçici önlemler aldığını ve bir olay müdahale ekibi kurduğunu açıkladı. Olay Japonya’nın Kişisel Bilgileri Koruma Komisyonu’na bildirildi. Saldırganların sisteme nasıl girdiği, dış uzmanların da katıldığı inceleme sürdüğü için henüz açıklanmadı. Bir saldırı grubunun olayı üstlendiğine dair bir bilgi de yok.

Olay, bu yıl Japonya’da büyük şirketleri etkileyen saldırıların sonuncusu. Sitede yazdığımız Nikkei olayı da bunlardan biriydi. BleepingComputer’ın aktardığına göre bir Japon araştırmacı yılbaşından bu yana kişisel verilerin çalındığı ya da açığa çıktığı 119 olay kaydetti. Saldırganların web sitelerinde ve API’lerde erişim denetimi, yapılandırma ve kimlik doğrulama zayıflıklarını aradığı, bilinen ama yamalanmamış açıkları da kullandığı belirtiliyor.

Üyelere öneriler

Sızan bilgiler doğrudan bir hesaba girmeye yetmese de, ad, telefon ve e-posta bir arada olduğunda ikna edici oltalama mesajları hazırlamak kolaylaşıyor. Şirket de üyeleri Burger King Japonya adına gönderilmiş gibi görünen şüpheli e-posta, SMS ve aramalara karşı uyarıyor, bu mesajlardaki bağlantılara tıklanmamasını, eklerin açılmamasını ve üyelik bilgisi ya da parola girilmemesini istiyor.

Olay, bir sadakat uygulamasının bile milyonlarca kişinin kişisel bilgisini tek bir yerde topladığını hatırlatıyor. Kullanılmayan uygulama hesaplarını kapatmak, sızıntı olduğunda ortaya çıkabilecek bilgi miktarını azaltmanın en basit yolu.