Ciberseguridad

Pedir comida a través de Internet, registrarse en una promoción o facilitar el correo electrónico para recibir descuentos puede hacer que nuestros datos terminen almacenados en plataformas externas que trabajan para las grandes cadenas. Y un incidente ocurrido en Burger King Rusia muestra qué puede pasar cuando uno de esos proveedores sufre una brecha de seguridad.

Los datos personales de aproximadamente 3,2 millones de clientes de Burger King Rusia quedaron expuestos después de que ciberdelincuentes accedieran a Mindbox, la plataforma de marketing utilizada por la compañía. Aunque el incidente se produjo en Rusia, sirve para recordar un riesgo que afecta a consumidores de cualquier país, también en España: nuestros datos pueden quedar expuestos aunque el ataque no se produzca directamente contra la empresa a la que se los facilitamos.

La información de la brecha ha sido incorporada ahora a Have I Been Pwned (HIBP), el servicio de Troy Hunt que permite comprobar si una dirección de correo electrónico aparece en filtraciones conocidas.

¿Qué datos consiguieron?

Entre la información expuesta aparecen nombres, fechas de nacimiento, direcciones de correo electrónico y números de teléfono, además del género y una ubicación geográfica aproximada.

La cantidad de información resulta especialmente relevante porque los registros abarcaban más de seis años, con datos que se remontaban a mayo de 2018.

Las informaciones publicadas cuando se conoció el incidente hablaban de más de 5,6 millones de líneas de información y apuntaban a que entre los registros también podían encontrarse datos sobre los platos favoritos de determinados clientes y sus pedidos anteriores. Sin embargo, Have I Been Pwned no incluye estos últimos elementos entre los datos que ha verificado, por lo que no pueden darse por confirmados con la misma certeza.

Burger King reconoció en octubre de 2024 que los datos de sus clientes podían encontrarse entre la información afectada por el ataque contra Mindbox.

La compañía aseguró entonces que los datos financieros y la información de los pasaportes no estaban afectados. Según explicó, la plataforma de marketing no tenía acceso a los datos de pago ni a la documentación personal de los clientes.

El peligro no termina con el robo de una contraseña

Este tipo de filtraciones demuestra que un ciberdelincuente no necesita conseguir nuestra contraseña o el número de nuestra tarjeta bancaria para disponer de información útil.

Conocer nuestro nombre, teléfono, correo electrónico, fecha de nacimiento y otros datos relacionados con una empresa que utilizamos puede facilitar la preparación de campañas de phishing mucho más convincentes.

Por ejemplo, un mensaje fraudulento puede dirigirse a la víctima por su nombre, hacerse pasar por una cadena en la que realmente está registrada y utilizar información personal para dar credibilidad a una falsa promoción, un supuesto problema con su cuenta o un descuento.

El objetivo posterior podría ser conseguir información más sensible, credenciales de acceso o datos bancarios.

El ataque fue contra un proveedor externo

Otro aspecto importante del incidente es que el acceso no se produjo directamente contra los sistemas de Burger King, sino contra Mindbox, la plataforma de marketing utilizada por Burger King Rusia.

Esto introduce un riesgo que cada vez tiene más peso en ciberseguridad: las empresas dependen de numerosos proveedores para gestionar campañas publicitarias, comunicaciones, servicios en la nube, pagos, atención al cliente o programas de fidelización.

Cuando facilitamos nuestros datos a una compañía, por tanto, estos pueden terminar siendo procesados por diferentes proveedores tecnológicos. Si uno de ellos resulta comprometido, la información de clientes de varias organizaciones puede quedar expuesta.

Según las informaciones sobre el incidente, el ataque contra Mindbox habría estado relacionado además con otras filtraciones. Entre las compañías supuestamente afectadas se encontraba Detsky Mir, uno de los mayores minoristas de juguetes de Rusia, con más de un millón de personas afectadas.