Foto di Andres Siimon.

Burger King Italia sta verificando un possibile furto di dati dopo che un anonimo utente del dark web, identificato come kvantize, ha pubblicato online un presunto dump contenente circa cinque milioni di record relativi al programma fedeltà della catena. L'allerta è stata diffusa dal canale di cyberintelligence Vecert, che ha classificato l'incidente come "non confermato" ma meritevole di attenzione immediata per la natura dei dati coinvolti. Il presunto database includerebbe informazioni personali come nome, cognome, indirizzo email, codice della carta fedeltà, punti accumulati e ranking associato agli utenti registrati. I campioni mostrati riportano campi strutturati relativi a identificativi univoci e dati di contatto. La pubblicazione non contiene password né dati di pagamento, ma la quantità di informazioni personali dichiarate rende l'incidente potenzialmente rilevante per il rischio di campagne di phishing mirate.

La comunicazione di Burger King agli utenti italiani.

Da più parti stanno già venendo segnalati messaggi di phishing che imitano comunicazioni ufficiali della catena, invitando gli utenti a cliccare su link per «verificare il proprio account» o «aggiornare i dati della carta fedeltà». Le analisi preliminari indicano che tali messaggi sfruttano l'attenzione generata dalla notizia per aumentare la probabilità di successo delle campagne fraudolente. Il presunto attacco non è stato per ora rivendicato da gruppi noti e non sono stati diffusi dettagli tecnici sulle modalità di accesso ai dati. Kvantize non risulta associato a precedenti incidenti di grande portata, ma la pubblicazione di database di programmi fedeltà è peraltro una pratica frequente nei forum dedicati alla compravendita di informazioni personali. Tali database sono considerati appetibili per la presenza di dati verificati e aggiornati, utili per attività di social engineering.

Le piattaforme di monitoraggio citate nella segnalazione indicano che il dump sarebbe stato caricato su un servizio di analisi automatizzata, ma non è stato reso pubblico nella sua interezza. Questo rende più complessa la verifica indipendente dell'autenticità dei dati. Le autorità competenti non hanno rilasciato dichiarazioni ufficiali e non risultano segnalazioni al momento presso il CSIRT Italia. Gli utenti sono comunque invitati a prestare attenzione a eventuali email sospette e a non fornire dati personali tramite link ricevuti via posta elettronica o SMS. In caso di conferma della violazione, la normativa europea prevede l'obbligo di notifica agli interessati e alle autorità competenti entro termini definiti, insieme all'adozione di misure correttive per mitigare l'impatto dell'incidente. Burger King Italia non ha ancora confermato né smentito l'accaduto. Le verifiche interne sono in corso e ulteriori comunicazioni sono attese.

Non perderti anche:

Windows, addio alle password basate su immagini e gesti

ChatGPT, arriva Lockdown Mode

Polyfill manda in tilt le TV Samsung

Windows 11, sparisce il post che ridimensionava gli antivirus esterni

Spunti di approfondimento:

Microsoft, account ufficiale usato per inviare spam credibile

Attacco informatico a Booking.com, aumentano i rischi di phishing

Phishing, svolta UE: le banche dovranno rimborsare subito le vittime

Burger King controlla con l'IA negli auricolari il livello di cortesia dei d...