Хакеры обнаружили катастрофические уязвимости в системах Burger King

Как сообщает Tom's Hardware, два хакера успешно скомпрометировали кибербезопасность Restaurant Brands International (RBI), которой принадлежат сети Burger King, Popeyes и Tim Hortons. Они обнаружили «катастрофические» уязвимости, настолько серьёзные, что это заставило хакеров прокомментировать: «Мы даже не в ярости, а просто впечатлены приверженностью ужасным практикам безопасности».

Эти «ужасные практики безопасности» оказались тревожно масштабными. Хакеры смогли:

– Легко получить доступ к системам RBI в Amazon Web Services (AWS).

– Создавать новые учётные записи пользователей.

– Повышать свои права до статуса администратора.

– Получать доступ к личной информации сотрудников.

– Заказывать оборудование для магазинов.

– Добавлять магазины и управлять ими.

– Получать доступ к интерфейсам планшетов в магазинах.

– Получать доступ к голосовым записям клиентов, делающих заказы на drive-thru, — которые, по утверждению пары, используются для обучения модели ИИ.

Дуэт хакеров объяснил свой проект и находки в посте блога, который появился в сети 6 сентября, но был удалён в течение 24 часов и заменён уведомлением о том, что они получили жалобу по DMCA от RBI.

К счастью, оригинальный пост блога всё ещё виден в Wayback Machine, где говорится: «Мы наткнулись на уязвимости настолько катастрофические, что могли получить доступ к каждому магазину в их глобальной империи.

От Burger King на Таймс-сквер до того одинокого Tim Hortons, где Багз Банни должен был свернуть налево у Альбукерке. О, и мы упомянули, что можем слушать ваши реальные разговоры на drive-thru? Да, это тоже произошло.

Хакеры, «BobDaHacker» и «BobTheShoplifter», заявили о своей миссии взламывать системы для выявления уязвимостей безопасности и сообщать о них в целях улучшения защиты, а не использовать этот доступ для личного обогащения.

Что касается исправления обнаруженных дырок в безопасности, в оригинальном посте о взломе RBI говорится, что «время реакции RBI было впечатляющим». Таким образом, похоже, что по крайней мере некоторые из проблем, обнаруженных BobDaHacker и BobDaShoplifter, были устранены, хотя они также отметили, что RBI не ответила им напрямую и не прокомментировала сообщённые уязвимости.

Кажется, Бобы достигли того, что планировали, — выявили и сообщили о крупных недостатках безопасности, хотя RBI «отблагодарила» их жалобой по DMCA. Хотя тревожно, что у RBI была настолько слабая защита, хорошо, что это обнаружили именно Бобы, а не кто-то другой.

Они даже завершили свой пост заявлением, что не хранили никаких данных из своего проекта: «В ходе этого исследования не сохранялись данные клиентов. Ни один заказ на drive-thru не пострадал при создании этого поста. На протяжении всего процесса соблюдались протоколы ответственного раскрытия информации. Мы по-прежнему считаем, что воппер довольно хорош, но у Wendy's (прим. ред. американская сеть ресторанов быстрого питания) лучше. Так долго, и спасибо за всю рыбу».

ИИ: Ситуация ярко демонстрирует, насколько серьёзными могут быть последствия пренебрежения кибербезопасностью даже у крупных международных корпораций в 2025 году. Действия RBI с DMCA выглядят скорее как попытка замять скандал, чем конструктивно отреагировать на проблему.