Hackers descubren vulnerabilidades en plataformas de empleados de Burger King, Popeyes y Tim Hortons

Dos hackers éticos bajo los alias BobDaHacker y BobTheShoplifter respectivamente, descubrieron vulnerabilidades en las plataformas digitales de Restaurant Brands International (RBI), la compañía matriz de Burger King, Tim Horton y Popeyes. El principal problema provenía de una mala configuración en AWS Cognito, un servicio de Amazon Web Services utilizado para la gestión de cuentas y accesos. La empresa no había deshabilitado el registro de usuarios por defecto, lo que permitía la creación de cuentas no autorizadas por parte de terceros, en vez de únicamente los administradores del sistema. Además, los investigadores encontraron un endpoint en el registro que evitaba por completo la verificación por correo electrónico, lo que daba como resultado el envío de un correo electrónico con la contraseña en texto plano sin cifrar.

Exponiendo estos errores de configuración, los investigadores demostraron que un atacante podía acceder a múltiples funciones críticas de los sistemas de Restaurant Brands International. Entre ellas, escuchar grabaciones de pedidos de clientes, gestionar franquicias, ver y editar cuentas de empleados, consultar datos de ventas, enviar notificaciones, e incluso usar un sistema de pedidos que contenía las contraseñas incrustadas en el propio código HTML. Todo ello presentaba un riesgo directo tanto para la privacidad de los clientes como para la seguridad operativa de la compañía.

Otro hallazgo relevante fue el tratamiento que recibían las grabaciones de voz de los clientes. Los audios, que incluían personas reales pidiendo comida, con conversaciones de fondo, radios de coche y, en ocasiones, información de identificación personal, eran analizados con inteligencia artificial para evaluar métricas como la satisfacción del cliente, la amabilidad de los empleados, el éxito de ventas adicionales y los tiempos de procesamiento de pedidos.

Las vulnerabilidades han sido corregidas por Restaurant Brands International el mismo día en que se reportaron, aunque la compañía no reconoció públicamente a los investigadores ni emitió comentarios sobre el incidente.