1. lokakuuta H2O Retailing ja Hankyu Hanshin Department Store ilmoittivat, että osa noin 1,26 miljoonan H2O ID -jäsenen tietueista oli vuotanut. ASCII.jp English Editionin raportin mukaan tapaus koskee lähes kaikkia jaetun kanta-asiakastunnusjärjestelmän jäseniä. Jos sinulla on H2O ID, tämä H2O ID -tietovuodon tarkistuslista kertoo, mitä sinun kannattaa tehdä nyt, vaikka osa yksityiskohdista on vielä epäselviä.

Mitä H2O ID -tietovuodossa vuoti

H2O ID on yhteinen kirjautumistunnus, jota käytetään Hankyu Hanshin -tavaratalokonsernin palveluissa. Yhtiö kertoo, että osa noin 1,26 miljoonan jäsenen tietueista vuoti, ja otsikko kuvailee vaikutuksen ulottuvan lähes kaikkiin jäseniin.

Käytettävissämme oleva ote raportista ei kerro, mitkä tietokentät paljastuivat, miten vuoto tapahtui tai kuka sai tietueet haltuunsa. Emme aio arvailla. Jäsenten kannattaa seurata jälleenmyyjän virallisia tiedotteita, joissa pitäisi kertoa tarkasti, mitkä kentät olivat mukana. Siihen asti on järkevää olettaa, että kaikki kanta-asiakasohjelmalle antamasi henkilötiedot, kuten nimesi tai yhteystietosi, voivat olla vaarassa.

Laajuus on ratkaisevaa. Kun yksi jaettu tunnus yhdistää monta myymälää ja palvelua, yksi tapaus voi koskettaa lähes koko asiakaskuntaa kerralla.

Tietojen kalastelun riskit kanta-asiakaskorttien haltijoille

Yleisin jatko-ongelma kanta-asiakasrekisterin vuodon jälkeen ei ole dramaattinen pankkitilisi hakkerointi. Se on tietojen kalastelu. Rikolliset käyttävät vuodettuja jäsenluetteloita lähettääkseen viestejä, jotka näyttävät tulevan jälleenmyyjältä ja joissa mainitaan usein pisteet, palkinnot tai tilin vahvistaminen.

Varo näitä kaavoja:

  • Sähköpostit tai tekstiviestit, joissa väitetään H2O ID:si olevan keskeytetty ja pyydetään kirjautumaan linkin kautta.
  • Viestit vanhenevista kanta-asiakaspisteistä tai arvonnoista.
  • Puhelut tai viestit, joissa viitataan itse vuotoon ja tarjotaan "apua" tilisi turvaamiseen.
  • Pyynnöt salasanoista, kertakäyttökoodeista tai maksukortin tiedoista viestitse tai puhelimitse.

Todellinen yritys ei pyydä salasanaasi tai vahvistuskoodiasi. Jos viesti huolestuttaa sinua, älä käytä siinä olevaa linkkiä. Avaa jälleenmyyjän virallinen sovellus tai kirjoita osoite itse selaimeesi.

Kyseessä on myös tunnusten uudelleenkäyttö. Jos käytit H2O ID -salasanaasi jossain muualla, hyökkääjät voivat kokeilla samaa yhdistelmää muissa palveluissa. Tämä toimii vain, kun ihmiset kierrättävät salasanoja, minkä vuoksi seuraava vaihe on tärkeä.

H2O ID -tietovuodon tarkistuslistasi: Näin suojaat tilisi

Käy nämä vaiheet läpi järjestyksessä. Useimpiin menee vain muutama minuutti.

  1. Vaihda H2O ID -salasanasi. Valitse pitkä, yksilöllinen salasana, jota et ole koskaan käyttänyt muualla. Salasananhallintaohjelma tekee tästä käytännöllistä.
  2. Vaihda uudelleenkäytetyt salasanat. Etsi kaikki muut tilit, joilla on sama vanha salasana, aloittaen sähköposti-, pankki- ja ostostileistä, ja päivitä jokainen niistä.
  3. Ota kaksivaiheinen tunnistautuminen (2FA) käyttöön kaikkialla, missä sitä tarjotaan, erityisesti sähköpostitililläsi, koska sen kautta voidaan nollata muut kirjautumisesi. Todennussovellus on yleensä vahvempi kuin SMS-koodit.
  4. Tarkista tilitietosi. Katso, mitä henkilötietoja ja tallennettuja maksutapoja H2O ID:hen on liitetty, ja poista kaikki tarpeettomat.
  5. Tarkista viimeaikainen toiminta. Katso pistesaldot, tilaukset ja tallennetut kortit mahdollisen tuntemattoman toiminnan varalta.
  6. Tallenna virallinen sivusto ja sovellus kirjanmerkkeihin. Käytä niitä viestien linkkien sijaan.
  7. Seuraa tiliotteitasi. Tarkkaile kortti- ja pankkitiliotteitasi outojen veloitusten varalta tulevina viikkoina.

Jos olet jo klikannut epäilyttävää linkkiä tai syöttänyt salasanan epäilyttävälle sivulle, vaihda kyseinen salasana välittömästi ja ota yhteyttä korttisi myöntäjään, jos jaoit maksutietoja.

Laajempaa kehystä paljastuneiden henkilötietojen käsittelyyn tarjoaa oppaamme Pentagonin tietovuodon vastausvaiheisiin, joka käy läpi samankaltaisen prosessin henkilöille, joiden tiedot on vuodettu.

Miksi kanta-asiakasohjelmat keräävät enemmän kuin tarvitsevat

Kanta-asiakasohjelmat pyytävät usein enemmän kuin alennus edellyttää: koko nimet, osoitteet, puhelinnumerot, syntymäpäivät ja ostohistoriat. Nämä tiedot auttavat markkinoinnissa, mutta ne luovat myös suuren tietopoolin, josta tulee kohde ja riski, jos se vuotaa.

Jaettu tunnus korostaa tätä. Yksi kirjautuminen, joka toimii monissa myymälöissä ja palveluissa, on kätevää, mutta se keskittää riskiä. Yksi heikkous voi paljastaa suuren ja monimuotoisen asiakasryhmän.

Japanissa on nähty muitakin viimeaikaisia tapauksia, joihin liittyy suuria määriä henkilötietoja. Raporttimme Reqrea-hotellin sisäänkirjautumisen tietovuodosta käsittelee eri tapausta, väärin konfiguroitua tallennussäiliötä, joka paljasti henkilöllisyysasiakirjoja, mutta se osoittaa saman periaatteen: mitä vähemmän dataa organisaatio säilyttää, sitä vähemmän voi paljastua.

Asiakkaana voit vähentää altistumistasi antamalla vain tiedot, joita ohjelma vaatii, ohittamalla valinnaiset kentät ja poistamalla tilejä, joita et enää käytä.

Mitä tämä tarkoittaa sinulle

Jos sinulla on H2O ID, pidä itseäsi mahdollisesti vaikutuksen kohteena ja toimi nyt sen sijaan, että odottaisit vahvistusta siitä, mitä tarkalleen vuoti. Käytännön riskit ovat tietojenkalasteluviestejä, jotka käyttävät jäsenyyttäsi syöttinä, ja hyökkääjiä, jotka testaavat uudelleenkäytettyä salasanaa muilla sivustoilla. Molemmat ovat hallittavissa yksilöllisellä salasanalla, 2FA:lla ja terveellä epäluulolla odottamattomia viestejä kohtaan.

Älä panikoi äläkä vastaa kenellekään, joka ottaa sinuun yhteyttä vuodosta pyytämättä. Luota jälleenmyyjän virallisiin kanaviin päivitysten osalta.

Keskeiset huomiot

  • Tarkista H2O ID:si ja muut kanta-asiakastilisi tänään ja poista ne, joita et enää käytä.
  • Käytä jokaisella tilillä yksilöllistä salasanaa ja ota 2FA käyttöön.
  • Suhtaudu pisteitä, keskeytyksiä tai itse vuotoa koskeviin viesteihin epäluuloisesti, kunnes ne on vahvistettu virallisten kanavien kautta.
  • Pidä tämä H2O ID -tietovuodon tarkistuslista käsillä seuraavan kerran, kun jälleenmyyjä paljastaa vuodon.

Lisävaiheita paljastuneiden henkilötietojen suojaamiseen löydät Pentagonin tietovuodon vastausoppaastamme ja Reqrea-tietovuototarinasta.