Burger King Japan hat eine Datenpanne bestätigt, von der etwa 11,18 Millionen Mitgliederdatensätze betroffen sind. Dabei wurden Kundeninformationen wie Namen, E-Mail-Adressen und Telefonnummern offengelegt.
BK Japan, das Unternehmen hinter der Fast-Food-Kette in Japan, bestätigte, dass eine unbefugte Partei zwischen dem 2. und 7. Oktober auf sein Mitgliederdaten-Informationssystem zugegriffen hat. Das Unternehmen stellte am 13. Oktober fest, dass Kundeninformationen abgeflossen waren, und legte den Vorfall gestern offen.
Die offengelegten Datensätze umfassen Namen, E-Mail-Adressen, Telefonnummern, Geburtsdaten, Geschlecht, Mitglieds-IDs und Präfekturen des Wohnsitzes. Weitere betroffene Felder geben Aufschluss über Registrierungsarten, den Status der E-Mail-Verifizierung und darüber, ob Mitglieder die mobile Bestellung genutzt haben.
Das Unternehmen teilte mit, dass sein betroffenes System keine Kreditkartennummern speicherte und bislang keine Offenlegung von Anmeldepasswörtern bestätigt wurde. Außerdem meldete es keine bestätigten Fälle einer betrügerischen Nutzung infolge des Vorfalls.
BK Japan sperrte den Zugriff von der mutmaßlichen Quelle, informierte die japanische Kommission zum Schutz personenbezogener Daten und beauftragte externe Cybersicherheitsspezialisten mit der Untersuchung, wie die Angreifer eindringen konnten. Das Unternehmen hat weder die ursprüngliche Zugriffsmethode öffentlich festgestellt noch eine konkrete für die Datenpanne verantwortliche Schwachstelle.
Warum Kundendaten wertvoll bleiben
Dass keine Zahlungskartennummern offengelegt wurden, beseitigt das Risiko für die betroffenen Mitglieder nicht. Namen, Geburtstage, Telefonnummern und E-Mail-Adressen können Kriminellen dabei helfen, überzeugende Betrugsversuche zu erstellen, die scheinbar von einem Unternehmen stammen, das die Kunden kennen.
Muhammad Yahya Patel, vCISO und Cybersicherheitsberater für die EMEA-Region bei Huntress, sagte, der Vorfall verdeutliche die Sicherheitsverantwortung, die mit digitalen Treueprogrammen einhergeht.
„Eine Treue-App ist nicht nur ein Marketinginstrument. Sie ist eine Datenbank mit personenbezogenen Informationen, die irgendwann jemand zu stehlen versuchen wird“, sagte Patel gegenüber eSecurity Planet (eSP).
Patel warnte, dass die offengelegten Informationen Angreifern dabei helfen könnten, überzeugende Phishing-Nachrichten zu verfassen oder sich als legitime Unternehmen auszugeben. Er betonte außerdem, dass Treueprogramme und Plattformen für mobile Bestellungen über ihre Funktionen zur Kundenbindung hinausgehende Sicherheitsverantwortung schaffen, insbesondere wenn sie große Mengen personenbezogener Informationen speichern.
Die Sicherheitsfragen hinter der Datenpanne
BK Japan hat nicht offengelegt, wie die Angreifer ursprünglich auf sein Mitgliedersystem zugriffen. Bis die Ermittler die Ursache festgestellt haben, bleibt die Frage offen, welche Sicherheitskontrollen versagt haben und ob der Angriff umfassendere Schwachstellen in der Infrastruktur des Unternehmens offengelegt hat.
Kelvin Lim, Leiter der Sicherheitsentwicklung für APAC bei Black Duck, warnte davor, zu spekulieren, bevor die Ermittler den Ablauf des Vorfalls geklärt haben.
„Als Erstes würde ich jedes Unternehmen fragen, ob es wirklich all die Kundendaten benötigt, die es erhebt, wie lange es diese Daten aufbewahrt und wer darauf zugreifen kann“, sagte Lim gegenüber eSP.
Sein Punkt geht über das Verhindern von Eindringversuchen hinaus. Lim sagte, Unternehmen müssten nachvollziehen können, wohin Kundeninformationen über Anwendungen, APIs, Cloud-Dienste und Systeme von Drittanbietern gelangen. Sicherheitstests müssten außerdem sicherstellen, dass Schutzmaßnahmen den unbefugten Zugriff tatsächlich verhindern, statt lediglich unauffällige Scan-Berichte zu erzeugen.
Für BK Japan besteht der nächste wichtige Meilenstein darin, zu erklären, wie es zu der Datenpanne kam und welche Änderungen eine Wiederholung verhindern werden. Eine stärkere Überwachung kann dabei helfen, verdächtige Aktivitäten zu erkennen. Wie wirksam diese Maßnahmen sind, hängt jedoch davon ab, ob die Untersuchung die zugrunde liegende Schwachstelle identifiziert und behebt.
Was betroffene Mitglieder jetzt tun sollten
BK Japan hat Kunden aufgefordert, auf verdächtige E-Mails, Textnachrichten und Anrufe zu achten, in denen sich jemand als das Unternehmen ausgibt. Außerdem hat das Unternehmen ihnen geraten, nicht auf unbekannte Links zu klicken, unerwartete Anhänge zu öffnen oder als Reaktion auf fragwürdige Nachrichten Kontodaten einzugeben.
Mitglieder sollten Kontobenachrichtigungen über die offizielle App oder Website überprüfen, statt Links in unaufgefordert zugesandten Nachrichten zu verwenden. Sie sollten niemals Passwörter, Zahlungsinformationen oder Bestätigungscodes an jemanden weitergeben, der behauptet, zum Kundensupport zu gehören.
Wer ein Kontopasswort auch anderswo verwendet hat, sollte erwägen, es bei diesen Diensten zu ändern, insbesondere wenn der Verdacht besteht, dass die Zugangsdaten offengelegt wurden. Obwohl BK Japan kein Passwortleck bestätigt hat, begrenzen einzigartige Passwörter den Schaden, falls ein anderes Konto kompromittiert wird.
Die größte unbeantwortete Frage ist derzeit, wie die Angreifer Zugriff auf das Mitgliedersystem erlangten. Bis BK Japan seine Untersuchung abgeschlossen hat, sollten betroffene Kunden gegenüber unerwarteten Nachrichten vorsichtig bleiben, auch wenn das Unternehmen keine bestätigte betrügerische Nutzung der gestohlenen Informationen gemeldet hat.
Weitere Meldung: Südkoreanische Aufsichtsbehörden bestätigen Datenpannen bei 16 Finanzinstituten, durch die etwa 100.000 personenbezogene Datensätze offengelegt wurden, darunter Namen, Telefonnummern und Identifikationsdaten.