Pelanggaran Panera Bread berdampak pada 5,1 juta akun, bukan 14 juta pelanggan

Layanan pemberitahuan pelanggaran data Have I Been Pwned mengatakan bahwa pelanggaran data di rantai makanan AS Panera Bread memengaruhi 5,1 juta akun, bukan 14 juta pelanggan seperti yang dilaporkan sebelumnya.

Didirikan pada tahun 1987, perusahaan ini mengoperasikan hampir 2.300 kafe roti di 48 negara bagian AS dan di Ontario, Kanada, dengan nama Panera Bread atau Saint Louis Bread Co.

Laporan Have I Been Pwned muncul setelah geng pemerasan ShinyHunters mengklaim pada akhir Januari bahwa mereka telah mencuri berbagai informasi pengenal pribadi (PII) dan informasi kontak untuk lebih dari 14 juta akun pengguna Panera Bread. Kelompok kejahatan dunia maya tersebut telah membocorkan arsip hampir 760 MB dokumen di situs kebocoran web gelapnya, yang berisi data yang dicuri dari Panera Bread.

“File-file ini bocor di DLS ShinyHunters karena korban tidak membayar uang tebusan atau bekerja sama dan mematuhi kelompok ShinyHunters,” kata geng pemeras dalam file teks yang ditambahkan ke arsip yang bocor.

ShinyHunters mengatakan kepada BleepingComputer bahwa mereka memperoleh akses ke sistem Panera melalui kode sistem masuk tunggal (SSO) Microsoft Entra. Serangan itu adalah bagian dari kampanye phishing suara (vishing) ShinyHunters yang baru menargetkan akun sistem masuk tunggal (SSO). di Okta, Microsoft, dan Google lebih dari 100 organisasi terkemuka.

“Pada bulan Januari 2026, Panera Bread mengalami pelanggaran data yang mengungkap 14 juta catatan,” dikatakan layanan pemberitahuan pelanggaran data Apakah Saya Telah Pwned selama akhir pekan. “Setelah upaya pemerasan gagal, para penyerang mempublikasikan data tersebut secara publik, yang mencakup 5,1 juta alamat email unik bersama dengan informasi akun terkait seperti nama, nomor telepon, dan alamat fisik.”

Sementara outlet berita lain melaporkan segera setelah ShinyHunters mengklaim serangan tersebut bahwa pelanggaran tersebut berdampak pada 14 juta pelanggan Panera Bread, situs geng pemeras tersebut menjelaskan bahwa angka tersebut mengacu pada catatan yang dicuri selama serangan tersebut. Menurut perhitungan BleepingComputer, catatan yang dicuri ini berisi informasi pribadi untuk sekitar 5.120.000 akun pengguna unik, yang mungkin mewakili lebih sedikit pelanggan, karena setiap individu yang terkena dampak mungkin telah menggunakan lebih dari satu akun.

BleepingComputer juga menemukan lebih dari 26.000 alamat email unik panerabread.com, kemungkinan milik karyawan Panera Bread yang PII-nya dicuri dalam pelanggaran tersebut.

Meskipun Panera Bread belum mengajukan pemberitahuan pelanggaran data atau mengeluarkan pernyataan tentang insiden tersebut, Panera Bread telah memberi tahu pihak berwenang dan mengkonfirmasi pelanggaran tersebutmengatakan bahwa “data yang terlibat adalah informasi kontak.”

Sebagai bagian dari rangkaian serangan vishing yang sama, ShinyHunters juga telah membobol raksasa kencan online Match Group, yang memiliki beberapa layanan kencan populer, termasuk Tinder, Match.com, Hinge, Meetic, dan OkCupid.

Grup Pertandingan telah dikonfirmasi bahwa penyerang mencuri “data pengguna dalam jumlah terbatas” setelah ShinyHunters membocorkan 1,7 GB file terkompresi yang diduga berisi dokumen internal dan sekitar 10 juta catatan informasi pengguna Engsel, OkCupid, dan Match.

Platform streaming audio SoundCloud juga mengonfirmasi serangan ShinyHunters pada bulan Desember menyusul laporan yang tersebar luas pengguna mengalami kesalahan 403 “Terlarang” saat menghubungkan melalui VPN. Serangan tersebut menyebabkan a pelanggaran data mempengaruhi 29,8 juta akunseperti yang diungkapkan Have I Been Pwned minggu lalu.

BleepingComputer menghubungi Panera Bread dengan pertanyaan tentang insiden Desember 2025, tetapi tanggapannya tidak segera tersedia.

Roti Panera juga memberi tahu karyawan tentang pelanggaran data pada bulan Juni 2024 setelah pelaku ancaman mencuri informasi pribadi mereka di a Serangan ransomware Maret 2024 yang memicu a pemadaman TI nasional.