Dne 19. října oznámily společnosti H2O Retailing a Hankyu Hanshin Department Store, že došlo k úniku části záznamů týkajících se přibližně 1,26 milionu členů H2O ID. Podle zprávy z ASCII.jp English Edition se incident dotýká téměř všech členů sdíleného věrnostního ID systému. Pokud vlastníte H2O ID, tento checklist pro únik dat H2O ID shrnuje, co byste měli nyní udělat, a to i přesto, že některé podrobnosti zůstávají nejasné.
Co uniklo při incidentu H2O ID
H2O ID je společné přihlášení používané napříč službami skupiny obchodních domů Hankyu Hanshin. Společnost uvádí, že unikla část z přibližně 1,26 milionu členských záznamů a že dopad podle titulků zasáhl téměř všechny členy.
Výňatek zprávy, který máme k dispozici, nespecifikuje, která datová pole byla odhalena, jak k úniku došlo ani kdo záznamy získal. Nebudeme spekulovat. Členové by měli sledovat oficiální oznámení od prodejce, která by měla přesně uvést, kterých polí se incident týká. Do té doby je rozumné předpokládat, že jakékoli osobní údaje, které jste věrnostnímu programu poskytli, například vaše jméno nebo kontaktní informace, mohou být ohroženy.
Klíčovým bodem je rozsah. Když jedno sdílené ID propojuje mnoho obchodů a služeb, může jeden incident zasáhnout téměř celou zákaznickou základnu najednou.
Rizika phishingu pro držitele věrnostních karet
Nejčastějším následným problémem po úniku dat z retailového věrnostního programu není dramatický hackerský útok na váš bankovní účet. Je to phishing. Zločinci využívají uniklé seznamy členů k rozesílání zpráv, které vypadají, jako by pocházely od prodejce, a často zmiňují body, odměny nebo ověření účtu.
Sledujte tyto vzorce:
- E-maily nebo textové zprávy tvrdící, že vaše H2O ID bylo pozastaveno, a žádající přihlášení prostřednictvím odkazu.
- Zprávy o expirujících věrnostních bodech nebo slosování o ceny.
- Hovory nebo zprávy, které odkazují na samotný incident a nabízejí, že vám „pomohou“ zabezpečit účet.
- Žádosti o hesla, jednorázové kódy nebo údaje o platební kartě prostřednictvím zprávy nebo telefonu.
Skutečná společnost po vás nebude chtít heslo ani ověřovací kód. Pokud vás nějaká zpráva znepokojuje, nepoužívejte odkaz v ní. Otevřete oficiální aplikaci prodejce nebo si adresu zadejte do prohlížeče sami.
Existuje také riziko opakovaného použití přihlašovacích údajů. Pokud jste své heslo k H2O ID použili někde jinde, útočníci mohou stejnou kombinaci vyzkoušet na jiných službách. To funguje pouze tehdy, když lidé hesla recyklují, a právě proto je důležitý další krok.
Váš checklist pro únik dat H2O ID: Jak zabezpečit své účty
Projděte tyto kroky popořadě. Většina z nich zabere jen několik minut.
- Změňte své heslo k H2O ID. Zvolte dlouhé, jedinečné heslo, které jste nikdy jinde nepoužili. Správce hesel to usnadní.
- Změňte znovu použitá hesla. Najděte jakýkoli jiný účet, který sdílí staré heslo, počínaje e-mailovými, bankovními a nákupními účty, a každý z nich aktualizujte.
- Zapněte dvoufaktorové ověřování (2FA) všude, kde je nabízeno, zejména u svého e-mailového účtu, protože ten může resetovat ostatní přihlášení. Ověřovací aplikace je obecně silnější než SMS kódy.
- Zkontrolujte údaje svého účtu. Zjistěte, jaké osobní údaje a uložené platební metody jsou k vašemu H2O ID připojeny, a odstraňte vše, co nepotřebujete.
- Zkontrolujte nedávnou aktivitu. Podívejte se na stavy bodů, objednávky a uložené karty, zda neobsahují aktivitu, kterou nepoznáváte.
- Přidejte si oficiální web a aplikaci do záložek. Používejte je místo odkazů ve zprávách.
- Sledujte své výpisy. V nadcházejících týdnech věnujte pozornost neznámým transakcím na svých kartách a bankovních výpisech.
Pokud jste již klikli na podezřelý odkaz nebo zadali heslo na pochybné stránce, okamžitě toto heslo změňte a kontaktujte vydavatele své karty, pokud jste sdíleli platební údaje.
Pro širší rámec nakládání s odhalenými osobními údaji prochází náš průvodce kroky reakce na únik dat Pentagonu podobným postupem pro lidi, jejichž informace unikly.
Proč věrnostní programy shromažďují více, než potřebují
Věrnostní programy často žádají více, než sleva vyžaduje: celá jména, adresy, telefonní čísla, data narození a historii nákupů. Tato data pomáhají marketingu, ale také vytvářejí velký fond informací, který se stává cílem a závazkem, pokud unikne.
Sdílené ID to ještě zvýrazňuje. Jedno přihlášení, které funguje napříč mnoha obchody a službami, je pohodlné, ale koncentruje riziko. Jediná slabina může odhalit velkou a různorodou skupinu zákazníků.
Japonsko v poslední době zaznamenalo další incidenty týkající se velkého množství osobních údajů. Náš článek o úniku dat při check-inu v hotelu Reqrea pokrývá jiný případ, chybně nakonfigurované úložiště, které odhalilo doklady totožnosti, ale ukazuje stejný princip: čím méně dat organizace uchovává, tím méně jich může uniknout.
Jako zákazník můžete snížit své vystavení tím, že poskytnete pouze informace, které program vyžaduje, přeskočíte volitelná pole a smažete účty, které již nepoužíváte.
Co to znamená pro vás
Pokud máte H2O ID, považujte se za potenciálně zasaženého a jednejte nyní, místo abyste čekali na potvrzení toho, co přesně uniklo. Praktickými riziky jsou phishingové zprávy, které využívají vaše členství jako návnadu, a útočníci testující znovu použité heslo na jiných stránkách. Obě rizika lze zvládnout pomocí jedinečného hesla, 2FA a zdravé nedůvěry k neočekávaným zprávám.
Nepanikařte a neodpovídejte nikomu, kdo vás nevyžádaně kontaktuje ohledně incidentu. Pro aktuální informace se spoléhejte na oficiální kanály prodejce.
Klíčové poznatky
- Ještě dnes zkontrolujte své H2O ID a jakékoli další věrnostní účty a smažte ty, které již nepoužíváte.
- Pro každý účet používejte jedinečné heslo a zapněte 2FA.
- Zprávy o bodech, pozastavení účtu nebo samotném incidentu považujte za podezřelé, dokud je neověříte prostřednictvím oficiálních kanálů.
- Mějte tento checklist pro únik dat H2O ID po ruce pro příště, až prodejce oznámí únik.
Další kroky k ochraně odhalených osobních údajů najdete v našem průvodci reakcí na únik dat Pentagonu a v článku o úniku dat Reqrea.
