Дайджест утечек данных из организаций сферы общепита

Утечки данных довольно регулярно случаются в сетях общественного питания. В результате утечек данных большому риску подвергаются клиенты ресторанов и других заведений из этой отрасли. Хакеры могут эксплуатировать уязвимости в ПО, взламывать учетные данные, атаковать с использованием вирусов-вымогателей. Так или иначе, утечки данных ярко демонстрируют пробелы в информационной безопасности в сетях общепита.

Одна из масштабных утечек конфиденциальной информации среди заведений общественного питания произошла в Пакистане. Хакеры украли данные более 2 млн гостей ресторанов из-за проблем в безопасности программного обеспечения. Скомпрометированная информация включает имена, адреса, номера телефонов, номера кредитных карт и сведения о платежах. Злоумышленники утверждают, что украли конфиденциальные данные из 250 ресторанов и выставили эту информацию в дарквебе за 2 биткойна.

Американская корпорация Yum!Brands, которая по франчайзинговой модели управляет такими сетями общественного питания, как KFC, Pizza Hut и Taco Bell, в 2023 году пострадала от утечки данных в результате атаки с использованием вируса-вымогателя. Во время инцидента утекли персональные данные некоторых сотрудников, включая такую информацию, как номера водительских удостоверений. Кроме того, атака привела к временному закрытию 300 ресторанов в Великобритании. При этом Yum!Brands заявила, что инцидент не окажет существенного негативного влияния на ее финансовые показатели.

В Чили крупная утечка персональных данных произошла из сети пекарен-кондитерских Pastelería Mozart. Предположительно инцидент был спровоцирован группировкой Ynnian. Хакеры похитили персональные данные более 10 млн клиентов, в том числе имена, адреса электронной почты, номера телефонов, даты рождения, пароли и др.

Panda Express, крупнейшая в США сеть заведений китайской кухни, пострадала от кибератаки в марте 2024 г. Злоумышленники взломали корпоративные системы и смогли скачивать данные в течение примерно пяти дней. В результате инцидента произошла утечка конфиденциальной информации действующих и бывших сотрудников, включая их имена и фамилии, номера водительских удостоверений и паспортов, различные ID.

Летом 2024 г. филиппинская сеть быстрого питания Jolibee Foods Corp., владеющая 18 брендами, признала, что стала жертвой инцидента, в ходе которого могли быть украдены персональные данные около 11 млн клиентов. Это крупнейшая утечка информации в истории Филиппин. Скомпрометированные данные предположительно включают имена, адреса, номера телефонов и адреса электронной почты.

Таким образом, вызванные кибератаками утечки информации оказывают разное влияние на работу заведений общественного питания. Некоторые инциденты приводят к временному закрытию ресторанов и техническим сбоям, в результате которых затрудняется обработка цифровых заказов. Из персональных данных системы общепита чаще всего утекает такая информация клиентов и персонала, как имена, номера телефонов, адреса электронной почты, номера удостоверений личности, а также платежные данные. Пострадавшие от инцидентов ИБ компании, как правило, достаточно оперативно уведомляют клиентов об утечке данных, предлагая им бесплатные услуги кредитного мониторинга и защиты личной информации. В рамках реализации планов реагирования на инциденты сети общественного питания привлекают экспертов по кибербезопасности и сотрудничают с правоохранительными органами.

С учетом того, что львиная доля платежей (более 80%) в сетях общепита являются безналичными, а информация о клиентах обрабатывается в электронном виде, риски утечек данных только возрастают. В атаках на компании из этой сферы, как, впрочем, и в других отраслях, широко применяются фишинг, программы-вымогатели и сбор учетных данных. Используя высокую текучесть кадров и низкий уровень осведомленности персонала о кибербезопасности, злоумышленники часто нацеливаются на учетные записи и системы типа Point-Of-Sale (POS). При этом небольшие сети ресторанов более уязвимы, так как не обладают ресурсов и опыта крупных компаний, зачастую используя простые средства безопасности, ориентированные на домашних пользователей, а не на бизнес.

Организации сферы общепита для защиты от атак должны проводить регулярное обучение сотрудников правилам цифровой гигиены, внедрять сквозное шифрование для онлайн-транзакций, использовать защищенные POS-терминалы и регулярно обновлять ПО. Кроме того, необходимо выстраивать надежную систему сетевой безопасности, управлять уязвимостями на основе средств искусственного интеллекта, проверять поставщиков, поддерживать планы реагирования на инциденты и страховать киберриски.