Burger King Japonya Veri Sızıntısı: 11,18 Milyon Uygulama Üyesinin Bilgileri Çalındı

Selam arkadaşlar,

Japonya'da şirket ihlallerinin art arda geldiği bir dönemdeyiz ve listeye büyük bir isim daha eklendi. Burger King'in Japonya operasyonu, resmi mobil uygulamasının üye bilgilerini tutan sisteme yetkisiz erişim yaşandığını ve yaklaşık 11,18 milyon üye kaydının sızdığını duyurdu. Kayıt sayısı Türkiye'deki birçok büyük perakende uygulamasının kullanıcı tabanıyla kıyaslanabilir düzeyde; bu yüzden olayı biraz detaylı ele almak istedim.

Konuda Anlatılacaklar

1. Ne oldu, ne zaman oldu?
   
2. Hangi bilgiler sızdı, hangileri sızmadı?
   
3. Şirketin yaptıkları
   
4. Japonya'daki ihlal dalgası ve saldırganların yöneldiği zayıflıklar
   
5. Etkilenen kullanıcılar ve uygulama geliştiriciler için dersler
   
6. Kaynaklar
   

Ne Oldu?

Şirketin 15 Ekim 2026 tarihli Japonca açıklamasına göre resmi uygulamanın üye bilgilerini yöneten sisteme üçüncü bir tarafın yetkisiz erişim sağlamış olabileceği tespit edilmiş ve inceleme başlatılmış. İncelemenin sonucunda şu zaman çizelgesi ortaya çıkıyor:

• 2 Ekim (Cuma) - 7 Ekim (Çarşamba) 2026: Yetkisiz erişimin gerçekleştiği dönem.
  
• 13 Ekim (Salı) 2026: Üye bilgilerinin sızdığının kesinleştiği gün.
  
• 15 Ekim (Perşembe) 2026: Kamuoyu açıklaması.
  

Şirket, yetkisiz erişimi fark ettikten sonra ilgili kaynaktan gelen bağlantıları hemen engellediğini söylüyor. Saldırganın sisteme nasıl girdiği ise henüz açıklanmadı; açıklamada nedenin dış uzman kuruluşlarla birlikte araştırıldığı belirtiliyor. Herhangi bir grup sorumluluk üstlendi mi, fidye talebi var mı, bu konularda da kaynaklarda bilgi yok. Bu yüzden ben de spekülasyona girmeyeceğim.

BleepingComputer, şirketin verilerin ekim başında çalındığını ve "çevrimiçi olarak sızdırıldığını" belirttiğini aktarıyor. Şirketin resmi açıklamasındaki ifade ise "漏えい" (sızıntı) kelimesi; verinin belirli bir yerde yayımlanıp yayımlanmadığına dair ayrıntı vermiyor.



Hangi Bilgiler Sızdı?

Şirket açıklamasında sızan bilgiler tek tek sayılmış. Etkilenen kayıt: yaklaşık 11,18 milyon resmi uygulama üye bilgisi. İçerik:

• Üye kimliği (ID)
  
• E-posta adresi
  
• Kayıt türü
  
• İkamet edilen il (prefecture)
  
• Cinsiyet
  
• Doğum tarihi
  
• Ad soyad (kanji ve kana)
  
• Telefon numarası
  
• Mobil sipariş geçmişinin olup olmadığı
  
• E-posta adresinin doğrulanıp doğrulanmadığı
  

Sızmadığı belirtilenler:

• Kredi kartı numaraları: Şirket bu bilgiyi kendisi tutmadığını, dolayısıyla sızmadığını söylüyor.
  
• Giriş parolaları: Şu ana kadar sızdığına dair bir bulgu olmadığı belirtiliyor. Dikkat edin, ifade "sızmadı" değil, "sızdığı doğrulanmadı".
  

Kyodo News da sızan verilerin ad, doğum tarihi, e-posta, telefon ve cinsiyet içerdiğini, kredi kartı bilgisinin şirket tarafından saklanmadığını aktarıyor. Şirkete göre bilgilerin kötüye kullanıldığına dair henüz bir ikincil zarar tespit edilmedi.

Liste ilk bakışta "kart yok, parola yok, o kadar da kötü değil" dedirtebilir. Ama ad, telefon, e-posta ve doğum tarihinin bir arada olması oltalama ve sosyal mühendislik açısından çok değerli bir paket. Saldırgan, kurbanın adını, doğum gününü ve hangi markanın uygulamasını kullandığını bilerek mesaj yazdığında, sahte bir "üyelik doğrulama" e-postası oldukça inandırıcı hale gelir.

Şirketin Yaptıkları

Açıklamaya göre tamamlanan adımlar:

• Yetkisiz erişim kaynağıyla iletişimin kesilmesi
  
• Geçici önlemlerin uygulanması
  
• Kriz masası kurulması
  
• Japonya Kişisel Bilgilerin Korunması Komisyonu'na (PPC) bildirim
  

Devam eden ve sırayla uygulanacak adımlar ise kalıcı önlemler, dış uzmanlarla yürütülen inceleme ve etkilenen müşterilere e-postayla bilgilendirme. Şirket ayrıca sistem güvenliğini ve izleme kapasitesini güçlendireceğini söylüyor.

BleepingComputer'ın aktardığına göre şirket, etkilenen müşterileri Burger King Japonya'yı taklit eden şüpheli e-posta, SMS ve telefon aramalarına karşı uyarıyor; bağlantılara tıklamamalarını, ek açmamalarını ve üye bilgisi ya da parola girmemelerini istiyor.

Japonya'daki İhlal Dalgası

Bu olay tekil değil. Kyodo, son haftalarda Times Car araç paylaşım servisi, East Japan Railway ve Yamaha Motor gibi şirketlerin de ihlal bildirdiğini hatırlatıyor. BleepingComputer'ın listesi daha da uzun: Daiichi Kosho, IDC Frontier, Nikkei, Keio, Sakura Internet, Nihon Kotsu, KDDI ve diğerleri.

Asıl dikkat çekici veri BleepingComputer'ın aktardığı Macnica araştırmacısı Yutaka Sejiyama'nın çalışması. Sejiyama bu yıl kişisel bilgi hırsızlığı veya ifşası içeren 119 siber güvenlik olayı kaydetmiş ve saldırganların web sitelerini ve API'leri erişim kontrolü, yapılandırma ve kimlik doğrulama zayıflıkları açısından yokladığını, bilinen (n-day) açıkları da sömürdüğünü tespit etmiş.

Bu tespit bizim için de önemli. Mobil uygulamaların arkasındaki API'ler, çoğu zaman web sitesinden daha az test edilen, daha az izlenen bir katman. Burger King Japonya olayında giriş yolu henüz açıklanmadı, o yüzden bu olayı doğrudan bir API açığına bağlamıyorum; ama genel eğilim tam olarak oraya işaret ediyor.



Kullanıcılar İçin Öneriler

Bu uygulamayı kullanmış olabilecek, Japonya'da yaşayan ya da oraya seyahat eden okurlarımız varsa:

• Uygulama hesabınızın parolasını değiştirin ve aynı parolayı başka bir yerde kullanıyorsanız orada da değiştirin. Şirket parola sızıntısı doğrulamadı ama önlem almak bedava.
  
• "Üyeliğinizi doğrulayın", "kampanya hediyeniz hazır" gibi mesajlara karşı ekstra şüpheci olun. Gönderici adresini ve bağlantının gittiği alan adını kontrol edin.
  
• Telefonla arayıp kendini şirket yetkilisi olarak tanıtan ve bilgi isteyen kişilere bilgi vermeyin; şirketin resmi kanalından kendiniz arayarak teyit edin.
  
• E-posta adresinizin hangi sızıntılarda geçtiğini Have I Been Pwned gibi servislerle düzenli kontrol edin.
  

Uygulama Geliştiriciler İçin Dersler

• Veri minimizasyonu: Bir hamburger siparişi için doğum tarihi ve ikamet ili gerçekten gerekli mi? Tutmadığınız veri sızmaz. Şirketin kart verisini hiç tutmaması bu olayda zararı belirgin şekilde sınırlamış.
  
• API erişim kontrolü: Kullanıcı kimliğini istemciden gelen bir parametreye değil, sunucu tarafındaki oturuma bağlayın. IDOR tipi hatalar toplu veri çekmenin en yaygın yollarından biri.
  
• Hız sınırı ve anomali tespiti: Erişim 2-7 Ekim arasında yaklaşık beş gün sürmüş. Milyonlarca kaydın dışarı çıkması normal trafikten farklı bir desen üretir; bunu fark edecek bir izleme kurmak gerekir.
  
• Log saklama: Olay sonrası "saldırgan nereden girdi" sorusuna cevap verebilmek için API ve kimlik doğrulama loglarının yeterli süre saklanması şart.
  

Sizce mobil uygulama üyelik sistemlerinde en çok ihmal edilen kontrol hangisi? Bug bounty yapan arkadaşlar API tarafında en çok ne tür bulgulara rastlıyor, yorumlarda paylaşırsanız güzel bir tartışma olur.

Kaynaklar

• Burger King Japonya resmi açıklaması (Japonca, PDF): https://www.burgerking.co.jp/images/noti...84a139.pdf
  
• BleepingComputer - Burger King Japan data breach exposes 11 million customer records: https://www.bleepingcomputer.com/news/se...r-records/
  
• Kyodo News - Burger King's Japan operator says 11.18 mil. customer records exposed: https://english.kyodonews.net/articles/-/88323
  

Alıntı:Yasal Uyarı: Bu konu yalnızca bilgilendirme ve savunma amaçlıdır. Sızdırılmış verileri aramak, indirmek, paylaşmak veya kullanmak suçtur; bu forumda sızıntı verisi paylaşımı yasaktır. İzinsiz erişim ve kişisel verilerin hukuka aykırı olarak ele geçirilmesi 5237 sayılı Türk Ceza Kanunu'nun 243-245. maddeleri ve 6698 sayılı KVKK kapsamında yaptırıma tabidir.

Yasal uyarı: Bu içerik eğitim amaçlıdır. Yalnızca kendi sistemlerinizde veya yazılı izin aldığınız hedeflerde uygulayın (TCK 243-245).