Den 19. oktober meddelte H2O Retailing og Hankyu Hanshin Department Store, at en del af de registreringer, der er knyttet til omkring 1,26 millioner H2O ID-medlemmer, var blevet lækket. Ifølge rapporten fra ASCII.jp English Edition berører hændelsen næsten alle medlemmer af det fælles loyalitets-ID-system. Hvis du har et H2O ID, dækker denne H2O ID-datalækage-tjekliste, hvad du skal gøre nu, selv mens nogle detaljer stadig er uklare.

Hvad blev lækket i H2O ID-lækagen

H2O ID er et fælles login, der bruges på tværs af Hankyu Hanshin-varehusgruppens tjenester. Virksomheden siger, at en del af de cirka 1,26 millioner medlemsregistreringer blev lækket, og overskriften beskriver påvirkningen som at omfatte næsten alle medlemmer.

Det uddrag af rapporten, som vi har adgang til, angiver ikke, hvilke datafelter der blev eksponeret, hvordan lækagen skete, eller hvem der fik fat i registreringerne. Vi vil ikke gætte. Medlemmer bør holde øje med officielle meddelelser fra forhandleren, som bør redegøre præcist for, hvilke felter der var involveret. Indtil da er det fornuftigt at antage, at alle personlige oplysninger, du har givet loyalitetsprogrammet, såsom dit navn eller kontaktoplysninger, kan være berørt.

Omfanget er det centrale punkt. Når et enkelt fælles ID forbinder mange butikker og tjenester, kan en enkelt hændelse ramme næsten en hel kundebase på én gang.

Phishing-risici for loyalitetskortmedlemmer

Det mest almindelige følgeproblem efter en lækage af et butiksmedlemskab er ikke et dramatisk hack af din bankkonto. Det er phishing. Kriminelle bruger lækkede medlemslister til at sende beskeder, der ser ud som om de kommer fra forhandleren, og som ofte nævner point, belønninger eller kontobekræftelse.

Vær opmærksom på disse mønstre:

  • E-mails eller sms-beskeder, der hævder, at dit H2O ID er suspenderet, og som beder dig logge ind via et link.
  • Beskeder om udløbende loyalitetspoint eller præmietrækninger.
  • Opkald eller beskeder, der henviser til selve lækagen og tilbyder at "hjælpe" dig med at sikre din konto.
  • Anmodninger om adgangskoder, engangskoder eller betalingskortoplysninger via besked eller telefon.

En rigtig virksomhed vil ikke bede om din adgangskode eller en bekræftelseskode. Hvis en besked bekymrer dig, så brug ikke linket i den. Åbn forhandlerens officielle app, eller skriv selv adressen i din browser.

Der er også genbrug af legitimationsoplysninger. Hvis du har brugt din H2O ID-adgangskode andre steder, kan angribere forsøge den samme kombination på andre tjenester. Det virker kun, når folk genbruger adgangskoder, og derfor er næste skridt vigtigt.

Din H2O ID-datalækage-tjekliste: Sådan sikrer du dine konti

Gå gennem disse trin i rækkefølge. De fleste tager kun et par minutter.

  1. Skift din H2O ID-adgangskode. Vælg en lang, unik adgangskode, som du aldrig har brugt andre steder. En adgangskodeadministrator gør dette praktisk.
  2. Skift genbrugte adgangskoder. Find enhver anden konto, der deler den gamle adgangskode, start med e-mail-, bank- og shoppingkonti, og opdater hver enkelt.
  3. Slå to-faktor-godkendelse (2FA) til, hvor det tilbydes, især på din e-mailkonto, da den kan nulstille resten af dine logins. En autentificeringsapp er generelt stærkere end SMS-koder.
  4. Gennemgå dine kontooplysninger. Tjek, hvilke personlige oplysninger og gemte betalingsmetoder der er knyttet til dit H2O ID, og fjern alt, du ikke har brug for.
  5. Tjek nylig aktivitet. Se på pointbalancer, ordrer og eventuelle gemte kort for aktivitet, du ikke genkender.
  6. Bogmærk det officielle websted og appen. Brug dem i stedet for links i beskeder.
  7. Overvåg dine kontoudtog. Hold øje med dine kort- og bankkontoudtog for ukendte opkrævninger i de kommende uger.

Hvis du allerede har klikket på et mistænkeligt link eller indtastet en adgangskode på en tvivlsom side, skal du straks skifte den adgangskode og kontakte din kortudsteder, hvis du har delt betalingsoplysninger.

For en bredere ramme for håndtering af eksponerede personoplysninger gennemgår vores guide til Pentagon-datalækagens respons-trin en lignende proces for personer, hvis oplysninger er blevet lækket.

Hvorfor loyalitetsprogrammer indsamler mere, end de har brug for

Loyalitetsprogrammer beder ofte om mere, end en rabat kræver: fulde navne, adresser, telefonnumre, fødselsdatoer og købshistorik. Disse data hjælper med markedsføring, men de skaber også en stor pulje af oplysninger, som bliver et mål og en byrde, hvis de lækkes.

Et fælles ID gør dette mere udtalt. Et login, der virker på tværs af mange butikker og tjenester, er praktisk, men det koncentrerer risikoen. En enkelt svaghed kan eksponere en stor og varieret gruppe af kunder.

Japan har oplevet andre nylige hændelser med store mængder personoplysninger. Vores rapport om Reqrea-hotellets check-in-lækage dækker en anden sag, en fejlkonfigureret lagringsbøtte, der eksponerede identitetsdokumenter, men den viser samme princip: jo mindre data en organisation opbevarer, jo mindre kan eksponeres.

Som kunde kan du reducere din eksponering ved kun at give de oplysninger, et program kræver, springe valgfrie felter over og slette konti, du ikke længere bruger.

Hvad dette betyder for dig

Hvis du har et H2O ID, skal du betragte dig selv som potentielt berørt og handle nu i stedet for at vente på bekræftelse af, præcis hvad der blev lækket. De praktiske risici er phishing-beskeder, der bruger dit medlemskab som lokkemad, og angribere, der tester en genbrugt adgangskode på andre websteder. Begge kan håndteres med en unik adgangskode, 2FA og sund mistro til uventede beskeder.

Bliv ikke panisk, og svar ikke på nogen, der uopfordret kontakter dig om lækagen. Stol på forhandlerens officielle kanaler for opdateringer.

Vigtige pointer

  • Gennemgå dit H2O ID og alle andre loyalitetskonti i dag, og slet dem, du ikke længere bruger.
  • Brug en unik adgangskode til hver konto, og aktivér 2FA.
  • Behandl beskeder om point, suspensioner eller selve lækagen som mistænkelige, indtil de er verificeret via officielle kanaler.
  • Hav denne H2O ID-datalækage-tjekliste ved hånden til næste gang en forhandler oplyser om en lækage.

For yderligere trin til beskyttelse af eksponerede personoplysninger, læs vores Pentagon-lækagens responsguide og Reqrea-lækagehistorien.