Burger King Japanは、約1118万件の会員記録に影響するデータ侵害を確認した。氏名、メールアドレス、電話番号などの顧客情報が流出した。
日本で同ファストフードチェーンを運営するBK Japanは、10月2日から10月7日にかけて、何者かが会員情報システムに不正アクセスしたことを確認した。同社は10月13日、顧客情報が流出したと判断し、前日にこのインシデントを公表した。
この流出した記録には、氏名、メールアドレス、電話番号、生年月日、性別、会員ID、居住都道府県が含まれる。その他の影響を受けた項目からは、登録種別、メールアドレスの認証状況、モバイル注文の利用有無も明らかになっている。
同社は、影響を受けたシステムにはクレジットカード番号を保存しておらず、ログインパスワードの流出も確認していないと説明した。また、このインシデントに起因する不正利用の確認例はないと報告した。
BK Japanは疑わしい発信元からのアクセスを遮断し、個人情報保護委員会に通知するとともに、攻撃者がどのように侵入したのかを調査するため、外部のサイバーセキュリティー専門家を招いた。同社は、初期アクセスの方法を公表しておらず、侵害の原因となった特定の脆弱性も特定していない。
顧客データが今なお価値を持つ理由
決済カード番号が流出していないからといって、影響を受けた会員へのリスクがなくなるわけではない。氏名、生年月日、電話番号、メールアドレスがあれば、犯罪者は顧客が知っている企業からの連絡に見せかけた、説得力のある詐欺を仕掛けられる。
HuntressでEMEA（欧州・中東・アフリカ）担当のvCISO兼サイバーセキュリティーアドバイザーを務めるMuhammad Yahya Patel氏は、今回のインシデントがデジタルロイヤルティープログラムに伴うセキュリティー上の責任を浮き彫りにしたと述べた。
「ロイヤルティーアプリは単なるマーケティングツールではない。誰かがいずれ盗み出そうとする個人情報のデータベースだ」とPatel氏はeSecurity Planet（eSP）に語った。
Patel氏は、流出した情報によって攻撃者が説得力のあるフィッシングメッセージを作成したり、正規の企業になりすましたりできると警告した。また、ロイヤルティープログラムやモバイル注文プラットフォームは、顧客との関係構築という機能を超えたセキュリティー上の責任を生じさせると強調した。特に、大量の個人情報を保存する場合はなおさらだ。
侵害の背景にあるセキュリティー上の疑問
BK Japanは、攻撃者が最初に会員システムへアクセスした方法を公表していない。調査によって原因が明らかになるまで、どのセキュリティー対策が機能しなかったのか、また今回の侵入によって同社のインフラにさらに広範な弱点が露呈したのかという疑問が残る。
Black DuckでAPAC担当のセキュリティーエンジニアリング責任者を務めるKelvin Lim氏は、調査によって何が起きたのかが明らかになる前に憶測すべきではないと警告した。
「私がどの企業にもまず尋ねるのは、収集する顧客データが本当にすべて必要なのか、そのデータをどのくらいの期間保存するのか、そして誰がアクセスできるのかという点だ」とLim氏はeSPに語った。
同氏の指摘は、侵入を防ぐことにとどまらない。顧客情報がアプリケーション、API、クラウドサービス、サードパーティーシステム間をどのように移動するのかを把握する必要があるとLim氏は述べた。セキュリティーテストでは、単に問題のないスキャンレポートを作成するのではなく、対策が実際に不正アクセスを防止できることも確認しなければならない。
BK Japanにとって次の重要な節目は、侵害がどのように発生したのか、そして再発を防ぐためにどのような変更を行うのかを説明することだ。監視を強化すれば不審な活動の検知に役立つ可能性があるが、対策の有効性は、調査によって根本的な弱点が特定され、対処されるかどうかにかかっている。
影響を受けた会員が今すべきこと
BK Japanは顧客に対し、同社を装った不審なメール、テキストメッセージ、電話に注意するよう呼びかけている。また、見慣れないリンクをクリックしないよう勧告したほか、疑わしいメッセージに応じて予期しない添付ファイルを開いたり、アカウント情報を入力したりしないよう求めている。
会員は、迷惑な連絡に含まれるリンクを使わず、公式アプリやウェブサイトからアカウントに関する通知を確認すべきだ。カスタマーサポートを名乗る相手に、パスワード、決済情報、認証コードを決して開示してはならない。
他のサービスでも同じアカウントパスワードを使い回している人は、特に認証情報が流出した可能性を懸念している場合、それらのサービスでパスワードを変更することを検討すべきだ。BK Japanはパスワードの流出を確認していないものの、パスワードを使い分ければ、別のアカウントが侵害された場合の被害を抑えられる。
現時点で最大の未解決の問題は、攻撃者がどのように会員システムへアクセスしたのかという点だ。BK Japanが調査を完了するまで、同社が盗まれた情報の不正利用を確認していないとしても、影響を受けた顧客は予期しない連絡に警戒を続けるべきだ。
その他のニュース：韓国の規制当局、16の金融機関でデータ侵害を確認し、氏名、電話番号、識別情報など約10万件の個人記録が流出した。