Burger King Japan a confirmé une fuite de données touchant environ 11,18 millions de dossiers de membres et exposant des informations clients, notamment les noms, les adresses e-mail et les numéros de téléphone.
BK Japan, l’entreprise qui exploite la chaîne de restauration rapide au Japon, a confirmé qu’un tiers non autorisé avait accédé à son système d’informations des membres entre le 2 et le 7 octobre. L’entreprise a établi le 13 octobre que des informations clients avaient fuité et a révélé l’incident hier.
Les dossiers exposés comprennent les noms, les adresses e-mail, les numéros de téléphone, les dates de naissance, le sexe, les identifiants de membre et les préfectures de résidence. D’autres champs concernés indiquent les types d’inscription, le statut de vérification de l’adresse e-mail et si les membres ont utilisé la commande mobile.
L’entreprise a déclaré que son système concerné ne stockait pas les numéros de carte bancaire et qu’elle n’avait confirmé aucune exposition de mots de passe de connexion. Elle n’a également signalé aucun cas confirmé d’utilisation frauduleuse résultant de l’incident.
BK Japan a bloqué l’accès depuis la source suspectée, a informé la Commission japonaise de protection des informations personnelles et a fait appel à des spécialistes externes de la cybersécurité pour enquêter sur la manière dont les attaquants avaient pénétré le système. L’entreprise n’a pas établi publiquement la méthode d’accès initiale ni identifié de vulnérabilité responsable de la fuite.
Pourquoi les données clients restent précieuses
L’absence de numéros de carte bancaire exposés n’élimine pas les risques pour les membres concernés. Les noms, les dates de naissance, les numéros de téléphone et les adresses e-mail peuvent aider les criminels à élaborer des escroqueries convaincantes semblant provenir d’une entreprise connue des clients.
Muhammad Yahya Patel, vCISO et conseiller en cybersécurité pour la région EMEA chez Huntress, a déclaré que l’incident illustrait les responsabilités de sécurité liées aux programmes de fidélité numériques.
« Une application de fidélité n’est pas qu’un outil marketing. C’est une base de données d’informations personnelles que quelqu’un finira par tenter de voler », a déclaré Patel à eSecurity Planet (eSP).
Patel a averti que les informations exposées pourraient aider les attaquants à élaborer des messages d’hameçonnage convaincants ou à usurper l’identité d’entreprises légitimes. Il a également souligné que les programmes de fidélité et les plateformes de commande mobile impliquent des responsabilités de sécurité qui dépassent leurs fonctions d’engagement client, en particulier lorsqu’ils stockent de grandes quantités d’informations personnelles.
Les questions de sécurité soulevées par la fuite
BK Japan n’a pas révélé comment les attaquants avaient initialement accédé à son système de gestion des membres. En attendant que les enquêteurs établissent la cause, des questions subsistent quant aux contrôles de sécurité qui ont échoué et à la question de savoir si l’intrusion a révélé des faiblesses plus larges dans l’infrastructure de l’entreprise.
Kelvin Lim, responsable de l’ingénierie de la sécurité pour la région APAC chez Black Duck, a déconseillé toute spéculation avant que les enquêteurs n’établissent les faits.
« La première chose que je demanderais à toute entreprise, c’est si elle a réellement besoin de toutes les données clients qu’elle collecte, combien de temps elle les conserve et qui peut y accéder », a déclaré Lim à eSP.
Son propos va au-delà de la prévention des intrusions. Lim a déclaré que les entreprises devaient savoir où les informations clients circulent entre les applications, les API, les services cloud et les systèmes tiers. Les tests de sécurité doivent également établir que les mesures de protection empêchent réellement les accès non autorisés, plutôt que de simplement produire des rapports d’analyse sans anomalie.
Pour BK Japan, la prochaine étape importante consiste à expliquer comment la fuite s’est produite et quelles modifications permettront d’éviter qu’elle se reproduise. Une surveillance renforcée peut aider à détecter les activités suspectes, mais l’efficacité de ces mesures dépend de la capacité de l’enquête à identifier et à corriger la faiblesse sous-jacente.
Ce que les membres concernés doivent faire maintenant
BK Japan a exhorté ses clients à se méfier des e-mails, SMS et appels téléphoniques suspects usurpant l’identité de l’entreprise. Elle leur a également déconseillé de cliquer sur des liens inconnus, d’ouvrir des pièces jointes inattendues ou de saisir les informations de leur compte en réponse à des messages douteux.
Les membres doivent vérifier les notifications relatives à leur compte via l’application ou le site officiel, plutôt qu’en utilisant les liens envoyés dans des communications non sollicitées. Ils ne doivent jamais communiquer leurs mots de passe, leurs informations de paiement ou leurs codes de vérification à une personne prétendant appartenir au service client.
Toute personne ayant réutilisé un mot de passe de compte sur d’autres services devrait envisager de le modifier sur ces services, en particulier si elle soupçonne que ses identifiants ont pu être exposés. Bien que BK Japan n’ait pas confirmé de fuite de mots de passe, l’utilisation de mots de passe uniques limite les dégâts si un autre compte est compromis.
Pour l’instant, la principale question sans réponse est de savoir comment les attaquants ont accédé au système de gestion des membres. Tant que BK Japan n’aura pas terminé son enquête, les clients concernés doivent rester prudents face aux communications inattendues, même si l’entreprise n’a signalé aucun cas confirmé d’utilisation frauduleuse des informations volées.
Autre actualité : Les autorités sud-coréennes ont confirmé des fuites de données dans 16 établissements financiers, exposant environ 100 000 dossiers personnels, notamment des noms, des numéros de téléphone et des informations d’identification.