מחדל אבטחה חמור בענקית המזון המהיר הבינלאומית: השלוחה היפנית של רשת ברגר קינג הודיעה בימים האחרונים על מתקפת סייבר נרחבת, במסגרתה חדרו תוקפים חיצוניים לשרתי החברה ושמו את ידם על מאגר ענק המכיל נתונים אישיים של כ-11.18 מיליון לקוחות. הרשת, המפעילה כ-350 סניפים ברחבי יפן וקרוב ל-20 אלף סניפים ברחבי העולם, פרסמה התנצלות פומבית בפני הצרכנים לאחר שסיימה חקירה מעמיקה של התקרית.
לפי הודעת החברה, השרת שנפרץ שימש לניהול מועדון הלקוחות של אפליקציית הסמארטפון הרשמית של הרשת. המידע שנשדד על ידי התוקפים כולל שמות מלאים של משתמשים, תאריכי לידה, מגדר, כתובות דואר אלקטרוני, מספרי טלפון ואף את היסטוריית ההזמנות המלאה של כל לקוח. עם זאת, בחברה מבהירים כנקודת הרגעה כי השרת שנפגע אינו שומר מספרי כרטיסי אשראי, וכי לא אותרו ראיות לכך שהפורצים השיגו גישה לסיסמאות החשבון של המשתמשים.
החדירה למערכות התרחשה לאורך מספר ימים בתחילת החודש, ונבלמה מיד עם גילויה באמצעות חסימת כתובות המקור של התוקפים. ברגר קינג דיווחה על האירוע לנציבות להגנת המידע האישי ביפן (PPC) ושכרה מומחי אבטחה חיצוניים לבדיקת נסיבות הפריצה. במקביל, הרשת פנתה למיליוני הנפגעים באזהרה דחופה לגלות ערנות מרבית מפני הודעות SMS חשודות, שיחות טלפון ומיילים של מתחזים המבקשים פרטי התחברות או כוללים קישורים זדוניים.
הפריצה לברגר קינג אינה אירוע מבודד, אלא חלק מגל מתקפות סייבר אגרסיבי במיוחד הפוקד את המגזר העסקי ביפן מתחילת השנה. חוקר האבטחה יוטאקה סג'יאמה מחברת Macnica תיעד מתחילת השנה 119 תקריות סייבר חמורות של דליפת נתונים במדינה, בהן פריצות לתאגיד התקשורת KDDI, לחברת התשתיות Sakura Internet ולענקית ההוצאה לאור Nikkei. לפי מומחים, האקרים סורקים באופן שיטתי אתרי אינטרנט וממשקי API במטרה לאתר כשלי תצורה, חולשות באימות משתמשים ופרצות אבטחה ידועות שטרם עודכנו.
מומחי סייבר מזהירים כי הסכנה המרכזית בדליפות מסוג זה נובעת משילוב מספרי הטלפון יחד עם היסטוריית הרכישות. פושעי רשת נוהגים לרכוש מאגרי נתונים אלו ברשת האפלה ולבנות מתקפות דיוג ממוקדות: הודעת טקסט המתחזה לרשת המזון ומציינת את פריט האוכל המדויק שהלקוח נוהג להזמין, נראית אמינה לחלוטין ומגדילה משמעותית את הסיכוי שהקורבן יתפתה ללחוץ על קישור שידביק את מכשירו בנוזקה פיננסית.
התקרית מהווה תזכורת חיונית גם עבור הצרכנים בישראל, הנוהגים להוריד אפליקציות של רשתות מזון מהיר ומועדוני צרכנות. אפליקציות אלו אוגרות מידע אישי והרגלי צריכה רבים, וברגע ששרתי החברה אינם מאובטחים כראוי, הנתונים הופכים לכלי נשק בידי עברייני רשת. מומלץ להימנע ממסירת פרטים מעבר לנדרש באפליקציות מסוג זה, ולעולם לא להזין סיסמאות או פרטי אשראי בעקבות קישורים המגיעים בהודעות מתחזות.
