Burger King Japón confirmó una filtración de datos de Burger King que dejó expuestos unos 11,18 millones de registros de miembros de su aplicación oficial, después de que un tercero accediera sin autorización al sistema que gestiona la información de los usuarios. La intrusión ocurrió entre el 2 y el 7 de octubre; la empresa confirmó la salida de datos el día 13 y la hizo pública el 15 de octubre, con la investigación todavía abierta sobre la puerta que usó el atacante.
La aplicación oficial es el centro del programa de fidelidad de la cadena en Japón: desde ella se acumulan puntos, se reciben cupones y se hacen pedidos móviles para recoger en tienda. Por eso el sistema atacado no guardaba datos sueltos de una promoción, sino el registro completo de los miembros del programa, acumulado durante años de uso.
Qué información quedó expuesta
El paquete de datos es de los que más preocupan a los especialistas. Salieron el identificador de miembro de cada usuario, su correo electrónico, el tipo de registro, la prefectura donde vive, su género y su fecha de nacimiento. También salieron el nombre completo, escrito en kanji y en kana, y el número de teléfono, además de dos datos de comportamiento: si la persona usaba los pedidos móviles y si su correo estaba verificado.
En Japón, esa combinación tiene un peso particular. El nombre en sus dos escrituras, unido a la prefectura, el teléfono y la fecha de nacimiento, es justo el conjunto que piden muchos servicios para comprobar la identidad de un cliente por teléfono o por correo. Con esos datos en la calle, la suplantación deja de ser un intento a ciegas y pasa a ser una conversación con respuestas correctas.
Hay dos precisiones que la propia compañía puso sobre la mesa. La primera: los números de tarjeta de crédito no están entre lo expuesto, porque la empresa afirma que no los almacena. La segunda: por ahora no hay confirmación de que las contraseñas de acceso hayan salido, un punto que sigue bajo investigación. Y una tercera precisión de lectura: los 11,18 millones son registros de miembros, no un conteo verificado de personas únicas.
La respuesta de Burger King Japón
La operadora de la cadena en Japón, BK Japan, cortó el acceso no autorizado en cuanto lo detectó y montó un equipo de respuesta para el incidente. También notificó a la Comisión de Protección de Información Personal de Japón, el organismo que vigila el tratamiento de datos en ese país, y comenzó a escribir por correo a los miembros afectados para avisarles de la exposición.
La normativa japonesa de protección de datos obliga a las empresas a reportar este tipo de incidentes a la autoridad y a las personas afectadas, así que la notificación forma parte del procedimiento formal que ahora sigue su curso. La comisión puede pedir medidas adicionales a la compañía una vez conozca el alcance completo de la intrusión y la vía de entrada utilizada.
La investigación corre a cargo de expertos externos y todavía no identifica en público la vulnerabilidad aprovechada. Tampoco hay confirmación de credenciales robadas que expliquen la entrada, ni señales de un ataque de ransomware o de un compromiso de los sistemas de pago. Hasta el momento, la empresa no reporta daño secundario confirmado, como fraudes cometidos con los datos ya en la calle.
El peligro llega después: el phishing a la medida
El riesgo mayor de una filtración así no es inmediato, es el que se cocina en las semanas siguientes. Con nombre completo, teléfono, correo y fecha de nacimiento, un delincuente arma mensajes que suenan auténticos: un reembolso falso de un pedido, un aviso de que la cuenta será cerrada si no se verifica, un enlace que imita la página de la marca y pide la contraseña o los datos de pago.
Las señales de esos mensajes son conocidas: urgencia para actuar en minutos, enlaces que llevan a dominios casi idénticos al oficial y peticiones de códigos de verificación que ningún servicio serio solicita por correo. La recomendación para los clientes de Burger King Japón es aplicar la regla sin excepciones: entrar a la aplicación o al sitio oficial escribiendo la dirección a mano, nunca desde el enlace de un mensaje. La cobertura del caso también recordó que no es el primer tropiezo de seguridad asociado a la marca, con problemas ya reportados en su asistente de autoservicio.
En Tokio quedan por conocerse los resultados de la investigación externa y las medidas que pida la autoridad japonesa de protección de datos. La pieza que falta en el rompecabezas es la de las contraseñas: si la investigación confirma que también salieron, el alcance de esta filtración cambiará por completo.
Fuente: Blog elhacker.NET
Foto: cybersecuritynews.com
