Στις 19 Οκτωβρίου, η H2O Retailing και το Hankyu Hanshin Department Store ανακοίνωσαν ότι διέρρευσε μέρος των αρχείων που συνδέονται με περίπου 1,26 εκατομμύρια μέλη H2O ID. Σύμφωνα με το ρεπορτάζ του ASCII.jp English Edition, το περιστατικό επηρεάζει σχεδόν όλα τα μέλη του κοινού συστήματος loyalty ID. Αν έχετε H2O ID, αυτή η λίστα ελέγχου για την παραβίαση δεδομένων του H2O ID καλύπτει το τι πρέπει να κάνετε τώρα, ακόμη και όσο ορισμένες λεπτομέρειες παραμένουν ασαφείς.
Τι διέρρευσε στην παραβίαση του H2O ID
Το H2O ID είναι μια κοινή σύνδεση που χρησιμοποιείται στις υπηρεσίες του ομίλου πολυκαταστημάτων Hankyu Hanshin. Η εταιρεία δηλώνει ότι διέρρευσε μέρος των περίπου 1,26 εκατομμυρίων αρχείων μελών, και ο τίτλος περιγράφει τον αντίκτυπο ως φτάνοντα σχεδόν όλα τα μέλη.
Το απόσπασμα του ρεπορτάζ που έχουμε στη διάθεσή μας δεν προσδιορίζει ποια πεδία δεδομένων εκτέθηκαν, πώς συνέβη η διαρροή ή ποιος απέκτησε τα αρχεία. Δεν πρόκειται να κάνουμε εικασίες. Τα μέλη θα πρέπει να παρακολουθούν τις επίσημες ανακοινώσεις από τον λιανοπωλητή, οι οποίες θα πρέπει να διευκρινίζουν ακριβώς ποια πεδία εμπλέκονται. Μέχρι τότε, είναι λογικό να υποθέσετε ότι τυχόν προσωπικά στοιχεία που δώσατε στο πρόγραμμα επιβράβευσης, όπως το όνομά σας ή τα στοιχεία επικοινωνίας σας, μπορεί να έχουν εκτεθεί.
Η κλίμακα είναι το βασικό σημείο. Όταν ένα κοινό ID συνδέει πολλά καταστήματα και υπηρεσίες, ένα μόνο περιστατικό μπορεί να αγγίξει σχεδόν ολόκληρη την πελατειακή βάση ταυτόχρονα.
Κίνδυνοι phishing για μέλη προγραμμάτων επιβράβευσης
Το πιο συνηθισμένο επακόλουθο πρόβλημα μετά από διαρροή δεδομένων μέλους λιανοπωλητή δεν είναι ένα δραματικό hack του τραπεζικού σας λογαριασμού. Είναι το phishing. Εγκληματίες χρησιμοποιούν διαρρεύσαντες καταλόγους μελών για να στέλνουν μηνύματα που μοιάζουν να προέρχονται από τον λιανοπωλητή, συχνά αναφέροντας πόντους, ανταμοιβές ή επαλήθευση λογαριασμού.
Προσέξτε αυτά τα μοτίβα:
- Email ή γραπτά μηνύματα που ισχυρίζονται ότι το H2O ID σας έχει ανασταλεί και σας ζητούν να συνδεθείτε μέσω ενός συνδέσμου.
- Μηνύματα για πόντους επιβράβευσης που λήγουν ή κληρώσεις βραβείων.
- Κλήσεις ή μηνύματα που αναφέρονται στην ίδια την παραβίαση και προσφέρουν να «βοηθήσουν» να ασφαλίσετε τον λογαριασμό σας.
- Αιτήματα για κωδικούς πρόσβασης, κωδικούς μίας χρήσης ή στοιχεία κάρτας πληρωμής μέσω μηνύματος ή τηλεφώνου.
Μια πραγματική εταιρεία δεν θα σας ζητήσει τον κωδικό πρόσβασής σας ή έναν κωδικό επαλήθευσης. Αν ένα μήνυμα σας ανησυχεί, μην χρησιμοποιήσετε τον σύνδεσμο που περιέχει. Ανοίξτε την επίσημη εφαρμογή του λιανοπωλητή ή πληκτρολογήστε τη διεύθυνση στον περιηγητή σας μόνοι σας.
Υπάρχει επίσης η επαναχρησιμοποίηση διαπιστευτηρίων. Αν χρησιμοποιήσατε τον κωδικό πρόσβασης του H2O ID σας οπουδήποτε αλλού, οι επιτιθέμενοι μπορούν να δοκιμάσουν τον ίδιο συνδυασμό σε άλλες υπηρεσίες. Αυτό λειτουργεί μόνο όταν οι άνθρωποι ανακυκλώνουν κωδικούς πρόσβασης, γι' αυτό το επόμενο βήμα έχει σημασία.
Η λίστα ελέγχου για την παραβίαση δεδομένων του H2O ID: Πώς να ασφαλίσετε τους λογαριασμούς σας
Ακολουθήστε αυτά τα βήματα με τη σειρά. Τα περισσότερα διαρκούν μόνο λίγα λεπτά.
- Αλλάξτε τον κωδικό πρόσβασης του H2O ID σας. Επιλέξτε έναν μακρύ, μοναδικό κωδικό πρόσβασης που δεν έχετε χρησιμοποιήσει ποτέ αλλού. Ένας διαχειριστής κωδικών πρόσβασης το κάνει πρακτικό.
- Αλλάξτε τους επαναχρησιμοποιημένους κωδικούς πρόσβασης. Βρείτε οποιονδήποτε άλλο λογαριασμό μοιράζεται τον παλιό κωδικό πρόσβασης, ξεκινώντας από λογαριασμούς email, τραπεζικούς και αγορών, και ενημερώστε τον καθένα.
- Ενεργοποιήστε τον έλεγχο ταυτότητας δύο παραγόντων (2FA) όπου προσφέρεται, ειδικά στον λογαριασμό email σας, καθώς μπορεί να επαναφέρει τις υπόλοιπες συνδέσεις σας. Μια εφαρμογή ελέγχου ταυτότητας είναι γενικά ισχυρότερη από τους κωδικούς SMS.
- Ελέγξτε τα στοιχεία του λογαριασμού σας. Δείτε ποιες προσωπικές πληροφορίες και αποθηκευμένες μεθόδους πληρωμής είναι συνδεδεμένες με το H2O ID σας και αφαιρέστε ό,τι δεν χρειάζεστε.
- Ελέγξτε την πρόσφατη δραστηριότητα. Κοιτάξτε τα υπόλοιπα πόντων, τις παραγγελίες και τυχόν αποθηκευμένες κάρτες για δραστηριότητα που δεν αναγνωρίζετε.
- Αποθηκεύστε τον επίσημο ιστότοπο και την εφαρμογή στους σελιδοδείκτες σας. Χρησιμοποιήστε τους αντί για συνδέσμους σε μηνύματα.
- Παρακολουθείτε τις καταστάσεις σας. Προσέξτε τις καταστάσεις της κάρτας και της τράπεζάς σας για άγνωστες χρεώσεις τις επόμενες εβδομάδες.
Αν έχετε ήδη κάνει κλικ σε έναν ύποπτο σύνδεσμο ή έχετε εισαγάγει κωδικό πρόσβασης σε μια αμφίβολη σελίδα, αλλάξτε αμέσως αυτόν τον κωδικό πρόσβασης και επικοινωνήστε με τον εκδότη της κάρτας σας αν κοινοποιήσατε στοιχεία πληρωμής.
Για ένα ευρύτερο πλαίσιο σχετικά με τον χειρισμό εκτεθειμένων προσωπικών δεδομένων, ο οδηγός μας για τα βήματα αντιμετώπισης της παραβίασης δεδομένων του Πενταγώνου παρουσιάζει μια παρόμοια διαδικασία για άτομα των οποίων οι πληροφορίες έχουν διαρρεύσει.
Γιατί τα προγράμματα επιβράβευσης συλλέγουν περισσότερα από όσα χρειάζονται
Τα προγράμματα επιβράβευσης συχνά ζητούν περισσότερα από όσα απαιτεί μια έκπτωση: πλήρη ονόματα, διευθύνσεις, αριθμούς τηλεφώνου, ημερομηνίες γέννησης και ιστορικά αγορών. Αυτά τα δεδομένα βοηθούν στο μάρκετινγκ, αλλά δημιουργούν επίσης μια μεγάλη δεξαμενή πληροφοριών που γίνεται στόχος και ευθύνη αν διαρρεύσει.
Ένα κοινό ID το κάνει αυτό πιο έντονο. Μία σύνδεση που λειτουργεί σε πολλά καταστήματα και υπηρεσίες είναι βολική, αλλά συγκεντρώνει τον κίνδυνο. Μια μόνο αδυναμία μπορεί να εκθέσει μια μεγάλη και ποικίλη ομάδα πελατών.
Η Ιαπωνία έχει δει άλλα πρόσφατα περιστατικά που αφορούν μεγάλες ποσότητες προσωπικών δεδομένων. Η αναφορά μας για την παραβίαση στο check-in του ξενοδοχείου Reqrea καλύπτει μια διαφορετική περίπτωση, έναν εσφαλμένα διαμορφωμένο κάδο αποθήκευσης που εξέθεσε έγγραφα ταυτότητας, αλλά δείχνει την ίδια αρχή: όσο λιγότερα δεδομένα κατέχει ένας οργανισμός, τόσο λιγότερα μπορούν να εκτεθούν.
Ως πελάτης, μπορείτε να μειώσετε την έκθεσή σας δίνοντας μόνο τις πληροφορίες που απαιτεί ένα πρόγραμμα, παραλείποντας προαιρετικά πεδία και διαγράφοντας λογαριασμούς που δεν χρησιμοποιείτε πλέον.
Τι σημαίνει αυτό για εσάς
Αν έχετε H2O ID, θεωρήστε τον εαυτό σας δυνητικά επηρεαζόμενο και δράστε τώρα αντί να περιμένετε επιβεβαίωση για το τι ακριβώς διέρρευσε. Οι πρακτικοί κίνδυνοι είναι μηνύματα phishing που χρησιμοποιούν τη συνδρομή σας ως δόλωμα και επιτιθέμενοι που δοκιμάζουν έναν επαναχρησιμοποιημένο κωδικό πρόσβασης σε άλλους ιστότοπους. Και τα δύο είναι διαχειρίσιμα με έναν μοναδικό κωδικό πρόσβασης, 2FA και υγιή δυσπιστία απέναντι σε απρόσμενα μηνύματα.
Μην πανικοβάλλεστε και μην απαντάτε σε κανέναν που επικοινωνεί μαζί σας για την παραβίαση χωρίς να το έχετε ζητήσει. Βασιστείτε στα επίσημα κανάλια του λιανοπωλητή για ενημερώσεις.
Βασικά συμπεράσματα
- Ελέγξτε το H2O ID σας και τυχόν άλλους λογαριασμούς επιβράβευσης σήμερα, και διαγράψτε αυτούς που δεν χρησιμοποιείτε πλέον.
- Χρησιμοποιήστε έναν μοναδικό κωδικό πρόσβασης για κάθε λογαριασμό και ενεργοποιήστε το 2FA.
- Αντιμετωπίστε τα μηνύματα σχετικά με πόντους, αναστολές ή την ίδια την παραβίαση ως ύποπτα μέχρι να επαληθευτούν μέσω επίσημων καναλιών.
- Κρατήστε αυτή τη λίστα ελέγχου για την παραβίαση δεδομένων του H2O ID πρόχειρη για την επόμενη φορά που ένας λιανοπωλητής θα αποκαλύψει διαρροή.
Για περαιτέρω βήματα σχετικά με την προστασία εκτεθειμένων προσωπικών δεδομένων, διαβάστε τον οδηγό αντιμετώπισης της παραβίασης του Πενταγώνου και την ιστορία της παραβίασης της Reqrea.
