Únik dat Napoleon Perdis: Uniklo 339 tisíc australských záznamů
Aktér hrozby používající přezdívku „2019“ se přihlásil k odpovědnosti za únik databáze obsahující více než 339 000 záznamů zákazníků australské luxusní kosmetické značky Napoleon Perdis. Údajné narušení, které společnost dosud nezávisle nepotvrdila, údajně zahrnuje jména, e-mailové adresy, telefonní čísla a domácí i doručovací adresy. Pokud se informace potvrdí, šlo by o jeden z významnějších úniků maloobchodních dat, které v nedávné době postihly australské spotřebitele, a typ zasažených údajů jej činí obzvláště nebezpečným.
Jaké údaje byly odhaleny a kdo je ohrožen
Údajný soubor dat jde daleko za základní kontaktní informace. Uniklé záznamy prý obsahují také údaje o věrnostním programu a celkové výši útrat. Tato kombinace je zásadní. Celé jméno spojené s domácí adresou, telefonním číslem a e-mailem stačí k uskutečnění přesvědčivých útoků na vydávání se za někoho jiného. Přidejte historii nákupů a úroveň věrnostního programu a útočníci získají detailní profil nákupního chování a finančních zvyklostí každého jednotlivce.
Zhruba 339 100 dotčených osob tvoří převážně australští spotřebitelé, kteří u Napoleon Perdis nakupovali v kamenných obchodech nebo online. Protože data zahrnují i doručovací adresy, mohou být identifikováni a lokalizováni i zákazníci, kteří použili pracovní nebo alternativní e-mail. Každý, kdo si někdy založil účet u Napoleon Perdis nebo se zapojil do jejich věrnostního programu, by měl své osobní údaje považovat za potenciálně ohrožené, dokud společnost situaci nevyjasní.
Proč údaje o věrnostním programu a útratách zvyšují úroveň hrozby
Většina diskusí o únicích z maloobchodu se zaměřuje na čísla platebních karet nebo hesla. Ta jsou vážná, avšak data z věrnostních programů a útrat přinášejí odlišný typ rizika, který často zůstává nedoceněný.
Když útočníci vědí, kolik zákazník u prodejce utratil, mohou si cíle prioritizovat. Zákazníci s vysokou hodnotou jsou pravděpodobněji terčem sofistikovaných phishingových kampaní, podvodných refundací či dokonce fyzických přístupů. Podvodník, který ví, že jste prémiovým členem věrnostního programu, dokáže vytvořit velmi uvěřitelný e-mail, jenž tvrdí, že nabízí exkluzivní odměnu nebo řeší fakturační problém, a bude obsahovat vaše správné jméno a adresu.
Tato schopnost profilování odlišuje vysoce rizikový únik od běžného. Úniky s tímto typem dat mají navíc delší trvanlivost: informace neexspirují tak, jako se to může stát u hesla či čísla kreditní karty po jejich změně.
Jak útočníci zneužívají uniklé adresy a telefonní záznamy
Domácí adresy a telefonní čísla jsou dva datové body, které přenášejí únik z digitálního světa do fyzického. Útočníci je mohou využít k útokům výměnou SIM karty, kdy podvodník přesvědčí mobilního operátora, aby převedl vaše číslo na zařízení, které ovládá, a obejde tak dvoufaktorové ověřování pomocí SMS. Telefonní čísla také umožňují vishing, neboli hlasový phishing, při kterém volající předstírají, že jsou z banky, vládní agentury nebo od prodejce, aby z oběti vylákali další osobní či finanční údaje.
Únik dat ADT, který odhalil 10 milionů záznamů prostřednictvím vishingu je jasnou ilustrací toho, jak se telefonní sociální inženýrství stupňuje, když útočníci mají k dispozici zásobu ověřených kontaktních údajů. Domácí adresy přidávají další rozměr a umožňují podvody s poštou, zachycování zásilek nebo cílené přístupy, jež využívají pocitu oběti, že zná své okolí.
V odděleném, ale strukturálně podobném případu únik dat ADT zasahující 5,5 milionu zákazníků ukázal, jak jména, telefonní čísla a domácí adresy dohromady tvoří kompletní sadu nástrojů pro krádež identity. Únik Napoleon Perdis, pokud se potvrdí, tomuto profilu odpovídá téměř přesně.
Maloobchodníci jsou atraktivními cíli právě proto, že jejich databáze kombinují identitní údaje s behaviorálními daty, a často s mnohem nižšími investicemi do bezpečnosti než finanční instituce. Avizovaný incident Napoleon Perdis do tohoto vzorce zapadá.
Kroky, které mohou australští spotřebitelé okamžitě podniknout pro svou ochranu
Pokud jste si někdy založili účet u Napoleon Perdis nebo se účastnili jejich věrnostního programu, existují praktické kroky, které můžete ihned podniknout.
Zkontrolujte e-mail, zda neobsahuje podezřelé zprávy. Phishingové pokusy obvykle vrcholí v týdnech po oznámení úniku a často se vydávají za značku, jíž se únik týká. Buďte skeptičtí ke každému e-mailu, který tvrdí, že reaguje na únik, nabízí kompenzaci nebo požaduje ověření účtu.
Zapněte dvoufaktorové ověřování u všech finančních účtů. Vzhledem k tomu, že součástí údajného úniku jsou i telefonní čísla, upřednostněte ověřovací aplikace před SMS kódy, kde je to možné.
Sledujte svůj úvěrový soubor. Australští spotřebitelé si mohou vyžádat úvěrovou zprávu od hlavních úvěrových registrů a v případě obav si nastavit dočasný zákaz nových úvěrových žádostí. Služby jako IDCARE, australská národní služba pro podporu v oblasti identity a kybernetické bezpečnosti, mohou pomoci jednotlivcům, kteří se domnívají, že jejich údaje byly zneužity.
Buďte ostražití vůči fyzickým podvodům s poštou. Protože údajně uniklá data zahrnují i doručovací adresy, dávejte pozor na nečekané balíčky, oznámení o přesměrování nebo žádosti o potvrzení doručovacích údajů.
Celkově zrevidujte svou datovou stopu. Tento únik je vhodnou příležitostí k auditu, kteří prodejci a služby uchovávají vaše osobní údaje. Pokud je to možné, smažte účty, které už nepoužíváte, a odhlaste se z věrnostních programů, jež vyžadují více údajů, než jste ochotni sdílet.
Tvrzení o úniku dat Napoleon Perdis je stále předmětem šetření a společnost dosud nevydala ucelené veřejné prohlášení. Ať už se únik v uváděném rozsahu nakonec potvrdí, či nikoli, incident připomíná, že maloobchodní věrnostní databáze obsahují mnohem citlivější informace, než si většina zákazníků uvědomuje. Být proaktivní již nyní je nejúčinnějším způsobem, jak omezit své vystavení riziku, pokud se data rozšíří dál.
