สรุปสั้น
บริษัทผู้บริหารเครือร้านอาหารฟาสต์ฟู้ด Burger King ในประเทศญี่ปุ่นเปิดเผยเหตุข้อมูลรั่วไหลที่ทำให้ข้อมูลส่วนบุคคลของสมาชิกแอปพลิเคชันทางการราว 11.18 ล้านรายถูกเปิดเผย ผู้บุกรุกเข้าถึงระบบที่จัดการข้อมูลสมาชิกระหว่างวันที่ 2 ถึง 7 ตุลาคม 2569 บริษัทยืนยันการรั่วไหลเมื่อวันที่ 13 ตุลาคม และประกาศต่อสาธารณะเมื่อวันที่ 15 ตุลาคม พร้อมขอโทษลูกค้า โดยระบุว่า “ยืนยันแล้วว่าข้อมูลสมาชิกของลูกค้าจากแอปทางการรั่วไหลออกไปภายนอก หลังการเข้าถึงโดยไม่ได้รับอนุญาตจากบุคคลที่สาม”
ข้อมูลที่หลุดมีรหัสสมาชิก อีเมล ชื่อทั้งตัวคันจิและคานะ เบอร์โทรศัพท์ วันเกิด เพศ จังหวัดที่อยู่ และประเภทการสมัคร Burger King Japan ยืนยันว่าไม่ได้เก็บเลขบัตรเครดิต ไม่พบหลักฐานว่ารหัสผ่านหลุด และยังไม่พบการนำไปใช้ฉ้อโกง แต่บริษัทยังไม่เปิดเผยตัวผู้โจมตีหรือวิธีที่ใช้เจาะ และกำลังสอบสวนร่วมกับผู้เชี่ยวชาญภายนอก
รายละเอียดข่าว
เว็บไซต์ Security Affairs รายงานเมื่อวันที่ 16 ตุลาคม 2569 ว่า นอกจากข้อมูลข้างต้น ข้อมูลที่หลุดยังระบุว่าลูกค้าเคยสั่งอาหารผ่านมือถือหรือไม่ และยืนยันอีเมลแล้วหรือไม่ บริษัทระบุว่าบล็อกการเข้าถึงจากต้นทางของการสื่อสารที่ไม่ได้รับอนุญาตทันทีที่ทราบเหตุ
Burger King Japan ได้ใช้มาตรการชั่วคราว ตั้งทีมรับมือเหตุ และรายงานต่อคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลของญี่ปุ่น (Personal Information Protection Commission) แล้ว ส่วนการปรับปรุงความปลอดภัยถาวร การสอบสวนเพิ่มเติม และการส่งอีเมลแจ้งลูกค้าที่ได้รับผลกระทบยังดำเนินอยู่ บริษัทเตือนลูกค้าว่า “หากได้รับการติดต่อที่น่าสงสัย อย่าเข้า URL เปิดไฟล์แนบ หรือกรอกข้อมูลสมาชิกหรือรหัสผ่าน”
วิธีการโจมตี
ณ วันที่รายงาน บริษัทยืนยันเพียงว่าการเข้าถึงโดยไม่ได้รับอนุญาตทำโดยบุคคลที่สาม และกินเวลาราว 6 วัน (2-7 ตุลาคม) ก่อนจะยืนยันการรั่วไหลในอีก 6 วันต่อมา ยังไม่มีข้อมูลเรื่องช่องทางเข้าระบบ ไม่มีกลุ่มใดอ้างความรับผิดชอบ และยังเร็วเกินไปที่จะสรุปวิธีการหรือระบุผู้โจมตี
ผลกระทบ
ข้อมูลจำนวนกว่า 11 ล้านรายการนี้ไม่มีข้อมูลการเงินหรือรหัสผ่าน แต่การรวมชื่อจริง เบอร์โทร อีเมล วันเกิด และความสัมพันธ์กับแบรนด์ไว้ด้วยกันเพียงพอสำหรับการสร้างฟิชชิงทางอีเมล SMS หรือโทรศัพท์ที่อ้างรายละเอียดจริงของเหยื่อ เช่น โปรโมชันปลอม ของรางวัลปลอม หรือการแจ้งปัญหาบัญชีสมาชิก ซึ่งดูน่าเชื่อกว่าข้อความหลอกลวงทั่วไปมาก วันเกิดและเบอร์โทรยังเป็นข้อมูลที่ใช้ยืนยันตัวตนกับบริการอื่นได้ ความเสี่ยงจึงลากยาวแม้ผ่านเหตุการณ์ไปแล้ว
สำหรับภาคค้าปลีกและร้านอาหาร เหตุนี้ย้ำว่าแอปสมาชิกและระบบสะสมแต้มที่เก็บข้อมูลลูกค้าจำนวนมหาศาลเป็นเป้าหมายที่คุ้มค่า และต้องได้รับการป้องกันระดับเดียวกับระบบการเงิน
คำแนะนำ
- สมาชิกแอป Burger King Japan ควรระวังอีเมล SMS และโทรศัพท์ที่อ้างแบรนด์หรือข้อมูลสมาชิก ไม่กดลิงก์หรือกรอกข้อมูลจากข้อความที่ไม่ได้ตรวจสอบ
- หากใช้รหัสผ่านเดียวกับบริการอื่น ควรเปลี่ยนรหัสผ่านและเปิดการยืนยันตัวตนหลายปัจจัย แม้บริษัทจะไม่พบว่ารหัสผ่านหลุด
- องค์กรที่ให้บริการแอปสมาชิกควรจำกัดสิทธิ์เข้าถึงฐานข้อมูลสมาชิกเฉพาะบัญชีที่จำเป็น เฝ้าระวังการดึงข้อมูลจำนวนมากผิดปกติ และเก็บข้อมูลส่วนบุคคลเท่าที่ใช้งานจริง
- เตรียมแผนแจ้งเหตุและสื่อสารกับลูกค้าล่วงหน้า เพื่อให้แจ้งได้รวดเร็วตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล