Kool King Shop, une plateforme en ligne de Burger King France qui est destinée aux enfants, a été mal protégée, ce qui a permis de mettre la main sur les données de 37 900 clients français. La découverte a été faite par le chercheur en sécurité Bob Diachenko.
Il explique qu’une base de données était accessible sans protection, avec toutes les données affichées en clair sans aucun chiffrement. Les données en question comprennent les adresses e-mail, les mots de passe, les noms, les numéros de téléphone, les dates de naissance, les coupons de réduction ou encore des liens renvoyant vers des certificats stockés ailleurs. Outre les informations des clients, la base de données comprenait des détails sur 25 administrateurs de Burger King avec leurs noms, adresses e-mail et mots de passe chiffrés.
Burger King a pris la parole suite à cette mauvaise gestion des données :
« La protection des données est essentielle pour Burger King et nous prenons ces problèmes très au sérieux. Toutes les mesures nécessaires requises par la loi ont été prises en interne et avec notre fournisseur de services immédiatement après que cet incident a été porté à notre connaissance pour assurer la résolution efficace du problème ainsi que la sécurité des données de nos clients. Nous assurons également la liaison avec l’autorité nationale compétente en la matière ».
La dernière phrase fait suite à la mise en place du RGPD qui oblige les entreprises à entrer en contact avec les autorités compétentes en cas d’exposition des données en Europe. En France, l’autorité est la CNIL.
Mis à jour Burger King France nous a fait parvenir le communiqué ci-dessous suite à la publication de notre article :
Nous avons effectivement été victimes d’une cyber attaque dans nos systèmes informatiques. Nous avons bloqué tous les accès et sécurisés ceux-ci dès que nous en avons eu connaissance et avons prévenu à la fois la CNIL et les clients dont les données auraient été exposées comme le veut la loi. Nous avons pris dans l’intervalle toutes les mesures pour qu’un tel incident ne se reproduise pas. La plateforme Kool King Shop est un site à destination de parents et l’inscription se fait en renseignant une adresse email et la date de naissance. Aucune donnée bancaire n’est demandée et les mots de passe sont encryptés
