버거킹 재팬 앱 개인정보 유출 (약 1,118만 건): 이름, 생년월일, 전화번호 유출 — 회원이 해야 할 일

유출된 항목에는 이름(한자와 가타카나), 생년월일, 전화번호, 이메일 주소가 포함됩니다. 이 정보가 있으면 사기꾼은 정확한 이름과 생년월일을 넣은 메시지를 보낼 수 있습니다.

회사는 자사 또는 자사 서비스를 사칭한 의심스러운 이메일, 문자, 전화에 주의하고, URL이나 첨부 파일을 열거나 회원 정보와 비밀번호를 입력하지 말라고 안내하고 있습니다. 메시지가 예를 들어 "사과 쿠폰", "모바일 주문 환불", "회원 정보 재등록"(이 사이트의 예시)을 제안하더라도 링크를 열지 마십시오. 직접 앱을 열어 확인하십시오(피싱이란? 참고).

회사는 피해 고객에게 순차적으로 이메일을 보내고 있다고 말합니다. 공지에는 해당 이메일의 발신 주소가 나와 있지 않습니다.

발신자 이름은 위조될 수 있으므로 겉모습만으로 진짜 공지와 가짜를 구별하기는 어렵습니다. 공지 이메일이 도착하더라도 한 가지 원칙을 지키십시오. 이메일의 링크를 통해 로그인하거나 무언가를 입력하지 마십시오.

이메일 주소나 전화번호와 달리 생년월일은 바꿀 수 없으며, 이번에 이름과 함께 유출되었습니다.

은행이나 카드 PIN, 휴대폰 화면 잠금, 비밀번호 중 생년월일을 기반으로 한 것("0815"나 "19900815" 등)이 있다면 지금 변경하십시오. 이것은 이 사이트의 일반적인 권고이며, 회사의 안내가 아닙니다.

회사는 로그인 비밀번호 정보의 유출이 "지금까지 확인되지 않았다"고 말합니다. 공지는 회원에게 비밀번호 변경을 요구하지 않지만, 이 표현은 조사가 아직 진행 중임을 반영합니다.

버거킹 앱과 다른 서비스에 같은 비밀번호를 쓰고 있다면 지금 분리하십시오. 실용적인 방법은 비밀번호 관리자를 사용하는 것입니다. 재사용한 비밀번호가 과거 유출 자료에 있는지 확인하려면 비밀번호 유출 여부 확인 방법을 참고하십시오.

전화번호는 바꾸기 어렵습니다. 유출된 번호는 버거킹과 전혀 관련 없는 내용을 포함해 한동안 사기 전화와 문자를 받을 수 있습니다.

스마트폰의 스팸 전화 및 문자 필터를 켜면 받는 횟수를 줄일 수 있습니다(스마트폰 보안 기초 참고).

회사는 고객 상담 창구를 안내하고 있습니다(전화 0120-945-630, 이메일 customerservice@burgerking.co.jp, 평일 일본 시간 10:00–17:00, 주말 및 공휴일 휴무). 받은 메시지에 적힌 연락처가 아니라 공식 사이트의 공지에 있는 연락처를 이용하십시오.

회사에 따르면 신용카드 번호를 보유하고 있지 않아 유출되지 않았습니다. 회원 시스템이 침해되더라도 그 안에 없는 정보는 유출될 수 없다는 일반 원칙의 예입니다.

자사 서비스도 같은 방식으로 구성할 수 있습니다. 카드 번호는 결제 대행사에 맡기고, 대행사가 돌려주는 식별자(토큰)만 보관하는 방식입니다. 다만 카드 번호를 저장하지 않더라도, 결제 페이지가 변조되면 입력 순간에 카드 정보가 탈취될 수 있습니다(PhotoGoods 사례 참고). 데이터를 보유하지 않는 것과 입력 페이지를 보호하는 것은 별개의 조치입니다.

일반적으로 가입 항목은 캠페인과 분석을 위해 쌓이기 쉽습니다. 각 항목을 그것을 사용하는 기능과 함께 나열하고, 쓰지 않는 항목은 수집하거나 보관하지 않도록 하십시오.

예를 들어 생년월일을 생일 쿠폰에만 사용한다면 생월만으로 충분한지 검토하십시오. 연령 확인이 목적이라면 확인 결과만 보관할 수도 있습니다. 가타카나 이름, 성별 등 비슷한 항목도 같은 방식으로 검토할 수 있습니다.

이번 공지는 피해 고객에게 보내는 이메일의 발신 주소를 밝히지 않았습니다. 일반적으로 사고 후에는 가짜 사과 이메일이 빠르게 퍼지며, 회원이 진짜 공지를 알아볼 수 있는 단서는 사실상 사전에 공개된 발신자 정보 정도뿐입니다.

사고가 나기 전에 중요한 회원 공지에 사용할 도메인과 발신 주소를 정하고, 공식 사이트에 공개하며, 발신자 인증(SPF, DKIM, DMARC)을 설정하십시오. 자세한 내용은 SPF, DKIM, DMARC로 이메일 위조 막기를 참고하십시오.