ההודעה שברגר קינג יפן פרסמה ב-15 באוקטובר נגמרת בבקשה אחת מהלקוחות: אם תקבלו מייל, SMS או שיחת טלפון בשם הרשת, אל תיכנסו לקישור, אל תפתחו קובץ מצורף ואל תקלידו סיסמה. זאת לא אזהרה כללית שמדביקים לסוף כל הודעה. מהשרת שנפרץ יצאו בדיוק הפרטים שהופכים פנייה כזאת למשכנעת.

מה קרה

לפי ההודעה הרשמית של החברה המפעילה את הרשת ביפן, גורם חיצוני נכנס למערכת שמנהלת את פרטי חברי המועדון של האפליקציה הרשמית, ושהה שם בין 2 ל-7 באוקטובר. ב-13 באוקטובר התברר לחברה שמידע אכן יצא החוצה, וההודעה לציבור פורסמה יומיים אחר כך. ההיקף שהיא מוסרת הוא כ-11.18 מיליון רשומות של חברי מועדון.

מה היה בכל רשומה: מספר חבר, כתובת מייל, סוג ההרשמה, מחוז המגורים, מין, תאריך לידה, שם מלא, מספר טלפון, וגם שני סימונים טכניים, אם ללקוח יש היסטוריית הזמנות דרך האפליקציה ואם כתובת המייל שלו אומתה. על כרטיסי אשראי החברה כותבת שהיא בכלל לא שומרת אותם אצלה, ולכן הם לא דלפו. לגבי סיסמאות ההתחברות היא נוקטת ניסוח זהיר יותר, ואומרת שדליפה שלהן לא אומתה נכון לעכשיו. זה לא אותו דבר כמו לומר שהן בטוחות.

החברה דיווחה לרשות להגנת המידע האישי ביפן, חסמה את מקור הגישה ברגע שזיהתה אותו, ואומרת שעדיין לא אותר שימוש לרעה בפרטים. איך התוקף נכנס מלכתחילה עדיין בבדיקה, בסיוע גורמים חיצוניים.

למה זה חשוב לכם

הסניפים בישראל הם זיכיון נפרד, והפרטים שלכם לא היו בשרת הזה. מה שכן, האפליקציה היפנית החזיקה בדיוק את אותו סט שדות שאתם מוסרים לכל אפליקציית מועדון לקוחות בארץ, מרשתות מזון מהיר ועד בתי קפה וסופרים.

וזה בדיוק העניין. כשמישהו מתקשר אליכם ויודע את השם המלא שלכם, את תאריך הלידה, את העיר ואת מספר הטלפון, ואפילו יודע שאתם באמת לקוחות של אותה רשת, הוא עובר בקלות את הבדיקה הלא רשמית שכולנו עושים בראש. הטריק הזה, שבו התוקף משתמש בפרטים אמיתיים כדי להישמע כמו גורם מוכר ולהוציא מכם את מה שחסר לו, הוא הנדסה חברתית, והחומר שדלף כאן הוא חומר הגלם שלו.

יש כאן גם משהו ששווה לזכור מעבר למקרה הספציפי. דליפה בלי מספרי אשראי מתוארת בדרך כלל כקלה יחסית, אבל כרטיס אפשר לבטל ולהנפיק מחדש תוך ימים. תאריך לידה, שם ומספר טלפון נשארים אותו דבר.

מה עושים?

עברו על אפליקציות מועדון הלקוחות בטלפון שלכם ומחקו חשבונות ברשתות שאתם כבר לא קונים בהן. חשבון שאתם לא משתמשים בו עדיין מחזיק את הפרטים שלכם בשרת של מישהו.

הודעה שמשתמשת בשם המלא שלכם ובפרטים נכונים היא לא הוכחה לכלום. כשמגיעה פנייה בשם רשת כלשהי, סגרו אותה ופתחו את האפליקציה הרשמית או התקשרו למספר שמופיע באתר הרשמי.

אם הסיסמה שנתתם לאפליקציית מועדון כלשהי משמשת אתכם גם במייל או בבנק, החליפו אותה שם עכשיו. סיסמה שחוזרת בכמה שירותים הופכת דליפה בשירות אחד לבעיה בכולם.

את הפרטים שכבר מסרתם אי אפשר למשוך בחזרה, אבל אפשר להפסיק להוסיף עליהם: בפעם הבאה שאפליקציה מבקשת תאריך לידה בשביל מתנת יום הולדת, שווה לשאול מה היא נותנת לכם תמורתו.