На 19 октомври H2O Retailing и Hankyu Hanshin Department Store обявиха, че част от записите, свързани с приблизително 1,26 млн. членове на H2O ID, са били изтекли. Според доклада на ASCII.jp English Edition инцидентът засяга почти всички членове на споделената система за лоялност. Ако имате H2O ID, този контролен списък при изтичане на данни на H2O ID обхваща какво да направите сега, дори докато някои подробности остават неясни.
Какво изтече при breach на H2O ID
H2O ID е общ вход, използван в услугите на групата универсални магазини Hankyu Hanshin. Компанията твърди, че част от приблизително 1,26 млн. членски записа е изтекла, а заглавието описва въздействието като достигащо почти всички членове.
Откъсът от доклада, с който разполагаме, не уточнява кои полета с данни са били разкрити, как е възникнало изтичането или кой е получил записите. Няма да гадаем. Членовете трябва да следят за официални съобщения от търговеца, които следва да посочат точно кои полета са били засегнати. Дотогава е разумно да приемете, че всякакви лични данни, които сте предоставили на програмата за лоялност, като име или информация за контакт, може да са засегнати.
Мащабът е ключовият момент. Когато един споделен ID свързва много магазини и услуги, един инцидент може да засегне почти цяла клиентска база наведнъж.
Рискове от фишинг за членове на карти за лоялност
Най-честият последващ проблем след изтичане на данни от търговска членска програма не е драматично хакване на банковата ви сметка. Това е фишинг. Престъпниците използват изтекли списъци с членове, за да изпращат съобщения, които изглеждат сякаш идват от търговеца, често споменавайки точки, награди или проверка на акаунта.
Следете за тези модели:
- Имейли или текстови съобщения, твърдящи, че вашият H2O ID е спрян и искащи да влезете чрез връзка.
- Съобщения за изтичащи точки за лоялност или тегления на награди.
- Обаждания или съобщения, които се позовават на самото изтичане и предлагат да „помогнат" за защита на акаунта ви.
- Искания за пароли, еднократни кодове или данни за платежна карта чрез съобщение или телефон.
Истинска компания няма да поиска паролата ви или код за проверка. Ако съобщение ви притеснява, не използвайте връзката в него. Отворете официалното приложение на търговеца или въведете адреса в браузъра сами.
Има и повторно използване на идентификационни данни. Ако сте използвали паролата си за H2O ID някъде другаде, нападателите могат да опитат същата комбинация в други услуги. Това работи само когато хората рециклират пароли, поради което следващата стъпка е важна.
Вашият контролен списък при изтичане на данни на H2O ID: Как да заключите акаунтите си
Преминете през тези стъпки по ред. Повечето отнемат само няколко минути.
- Сменете паролата си за H2O ID. Изберете дълга, уникална парола, която никога не сте използвали другаде. Мениджърът на пароли прави това практично.
- Сменете повторно използваните пароли. Намерете всеки друг акаунт, който споделя старата парола, като започнете с имейл, банкиране и пазаруване, и актуализирайте всеки от тях.
- Включете двуфакторно удостоверяване (2FA) където и да се предлага, особено на имейл акаунта ви, тъй като той може да нулира останалите ви входове. Приложение за удостоверяване обикновено е по-силно от SMS кодове.
- Прегледайте данните на акаунта си. Проверете каква лична информация и запазени методи за плащане са свързани с вашия H2O ID и премахнете всичко, което не ви е необходимо.
- Проверете скорошната активност. Разгледайте балансите на точки, поръчките и всички запазени карти за активност, която не разпознавате.
- Отбележете официалния сайт и приложението. Използвайте ги вместо връзки в съобщения.
- Наблюдавайте извлеченията си. Следете извлеченията от картата и банката си за необичайни такси през следващите седмици.
Ако вече сте кликнали на подозрителна връзка или сте въвели парола на съмнителна страница, сменете тази парола незабавно и се свържете с издателя на картата си, ако сте споделили данни за плащане.
За по-широка рамка за справяне с разкрити лични данни нашето ръководство за стъпки за реакция при изтичане на данни от Пентагона преминава през подобен процес за хора, чиято информация е изтекла.
Защо програмите за лоялност събират повече, отколкото им е необходимо
Програмите за лоялност често искат повече, отколкото изисква отстъпката: пълни имена, адреси, телефонни номера, дати на раждане и история на покупките. Тези данни помагат за маркетинг, но също така създават голям набор от информация, който става цел и отговорност, ако изтече.
Споделеният ID прави това още по-изразено. Един вход, който работи в много магазини и услуги, е удобен, но концентрира риска. Една единствена слабост може да разкрие голяма и разнообразна група клиенти.
Япония е видяла други скорошни инциденти, включващи големи количества лични данни. Нашият доклад за изтичането на данни при check-in в хотел Reqrea обхваща различен случай, неправилно конфигуриран storage bucket, който е разкрил документи за самоличност, но показва същия принцип: колкото по-малко данни държи една организация, толкова по-малко може да бъде разкрито.
Като клиент можете да намалите експозицията си, като предоставяте само информацията, която програмата изисква, пропускате незадължителни полета и изтривате акаунти, които вече не използвате.
Какво означава това за вас
Ако имате H2O ID, приемете се за потенциално засегнат и действайте сега, вместо да чакате потвърждение какво точно е изтекло. Практическите рискове са фишинг съобщения, които използват членството ви като примамка, и нападатели, тестващи повторно използвана парола на други сайтове. И двете са управляеми с уникална парола, 2FA и здравословна доза подозрение към неочаквани съобщения.
Не се паникьосвайте и не отговаряйте на никого, който се свързва с вас относно изтичането без да сте го поискали. Разчитайте на официалните канали на търговеца за актуализации.
Основни изводи
- Прегледайте вашия H2O ID и всички други акаунти за лоялност днес и изтрийте тези, които вече не използвате.
- Използвайте уникална парола за всеки акаунт и включете 2FA.
- Отнасяйте се към съобщения за точки, спирания или самото изтичане като подозрителни, докато не бъдат потвърдени чрез официални канали.
- Дръжте този контролен списък при изтичане на данни на H2O ID под ръка за следващия път, когато търговец разкрие изтичане.
За допълнителни стъпки относно защитата на разкрити лични данни прочетете нашето ръководство за реакция при изтичане на данни от Пентагона и историята за изтичането на данни от Reqrea.
