Október 19-én a H2O Retailing és a Hankyu Hanshin Department Store bejelentette, hogy a mintegy 1,26 millió H2O ID-taghoz kapcsolódó rekordok egy része kiszivárgott. Az ASCII.jp English Edition beszámolója szerint az incidens a közös hűségprogram-ID rendszer szinte valamennyi tagját érinti. Ha Ön H2O ID-val rendelkezik, ez a H2O ID adatvédelmi incidens ellenőrzőlista bemutatja, mit kell most tennie, még akkor is, ha egyes részletek továbbra is tisztázatlanok.

Mi szivárgott ki a H2O ID incidensben

A H2O ID egy közös bejelentkezési azonosító, amelyet a Hankyu Hanshin áruházcsoport szolgáltatásaiban használnak. A vállalat szerint a mintegy 1,26 millió tagi rekord egy része kiszivárgott, és a főcím úgy írja le a hatást, hogy az szinte valamennyi tagot érinti.

A rendelkezésünkre álló jelentés kivonata nem részletezi, hogy mely adatmezők kerültek nyilvánosságra, hogyan történt a szivárgás, vagy ki szerezte meg a rekordokat. Nem fogunk találgatni. A tagoknak figyelniük kell a kiskereskedő hivatalos értesítéseit, amelyeknek pontosan meg kell határozniuk, mely mezők érintettek. Addig is ésszerű azt feltételezni, hogy a hűségprogramnak megadott bármely személyes adat, például a neve vagy elérhetősége, érintett lehet.

A lépték a kulcsfontosságú pont. Amikor egyetlen közös ID köt össze sok üzletet és szolgáltatást, egyetlen incidens szinte egy teljes ügyfélkört érinthet egyszerre.

Adathalászati kockázatok hűségkártya-tagok számára

A kiskereskedelmi tagsági szivárgás után a leggyakoribb következményes probléma nem a bankfiókja drámai feltörése. Hanem az adathalászat. A bűnözők a kiszivárgott taglistákat arra használják, hogy a kiskereskedőtől származónak tűnő üzeneteket küldjenek, gyakran pontokat, jutalmakat vagy fiókellenőrzést említve.

Figyeljen ezekre a mintákra:

  • E-mailek vagy szöveges üzenetek, amelyek azt állítják, hogy H2O ID-ja fel van függesztve, és arra kérik, hogy egy hivatkozáson keresztül jelentkezzen be.
  • Üzenetek lejáró hűségpontokról vagy nyereményjátékokról.
  • Hívások vagy üzenetek, amelyek magára az incidensre hivatkoznak, és felajánlják, hogy „segítenek" biztosítani a fiókját.
  • Jelszavak, egyszeri kódok vagy fizetési kártyaadatok kérése üzenetben vagy telefonon.

Egy valódi vállalat nem fogja kérni a jelszavát vagy egy ellenőrző kódot. Ha egy üzenet aggasztja, ne használja a benne lévő hivatkozást. Nyissa meg a kiskereskedő hivatalos alkalmazását, vagy írja be a címet saját maga a böngészőjébe.

A hitelesítő adatok újrafelhasználása is fennáll. Ha H2O ID-jelszavát máshol is használta, a támadók ugyanezt a kombinációt próbálhatják meg más szolgáltatásokon. Ez csak akkor működik, ha az emberek újrahasznosítják a jelszavakat, ezért fontos a következő lépés.

Az Ön H2O ID adatvédelmi incidens ellenőrzőlistája: Hogyan biztosítsa fiókjait

Haladjon végig ezeken a lépéseken sorrendben. A legtöbb csak néhány percet vesz igénybe.

  1. Változtassa meg H2O ID-jelszavát. Válasszon egy hosszú, egyedi jelszót, amelyet soha nem használt máshol. Egy jelszókezelő ezt praktikussá teszi.
  2. Változtassa meg az újrahasznosított jelszavakat. Keressen minden más fiókot, amely a régi jelszót használja, kezdve az e-mail-, banki és vásárlási fiókokkal, és frissítse mindegyiket.
  3. Kapcsolja be a kétfaktoros hitelesítést (2FA), ahol csak kínálják, különösen az e-mail-fiókján, mivel az visszaállíthatja a többi bejelentkezését. Egy hitelesítő alkalmazás általában erősebb, mint az SMS-kódok.
  4. Tekintse át fiókadatait. Ellenőrizze, milyen személyes adatok és mentett fizetési módok vannak a H2O ID-jához csatolva, és távolítson el mindent, amire nincs szüksége.
  5. Ellenőrizze a legutóbbi tevékenységet. Nézze meg a pontegyenlegeket, rendeléseket és a mentett kártyákat az Ön által nem ismert tevékenység után kutatva.
  6. Mentse el a hivatalos webhelyet és alkalmazást. Használja ezeket az üzenetekben lévő hivatkozások helyett.
  7. Figyelje a kivonatait. A következő hetekben figyelje kártya- és bankkivonatait ismeretlen terhelések után kutatva.

Ha már kattintott egy gyanús hivatkozásra, vagy jelszót írt be egy kétes oldalon, azonnal változtassa meg a jelszót, és lépjen kapcsolatba kártyakibocsátójával, ha fizetési adatokat osztott meg.

A személyes adatok védelmével kapcsolatos szélesebb keretrendszerért olvassa el a Pentagon adatvédelmi incidens válaszlépések című útmutatónkat, amely hasonló folyamatot mutat be azok számára, akiknek az adatai kiszivárogtak.

Miért gyűjtenek a hűségprogramok többet a szükségesnél

A hűségprogramok gyakran többet kérnek, mint amennyit egy kedvezmény megkövetel: teljes neveket, címeket, telefonszámokat, születési dátumokat és vásárlási előzményeket. Ezek az adatok segítik a marketinget, de egyben nagy információhalmazt hoznak létre, amely célponttá és felelősséggé válik, ha kiszivárog.

Egy közös ID ezt még hangsúlyosabbá teszi. Egy bejelentkezés, amely sok üzletben és szolgáltatásban működik, kényelmes, de összpontosítja a kockázatot. Egyetlen gyengeség nagy és sokféle ügyfélcsoportot tehet ki veszélynek.

Japánban más közelmúltbeli incidensek is történtek nagy mennyiségű személyes adattal kapcsolatban. A Reqrea szállodai bejelentkezési incidensről szóló jelentésünk egy másik esetet tárgyal, egy hibásan konfigurált tárolóhelyet, amely személyazonosító dokumentumokat tett ki, de ugyanazt az elvet mutatja: minél kevesebb adatot tárol egy szervezet, annál kevesebb kerülhet nyilvánosságra.

Ügyfélként csökkentheti kitettségét azzal, hogy csak a program által megkövetelt információkat adja meg, kihagyja az opcionális mezőket, és törli a már nem használt fiókokat.

Mit jelent ez az Ön számára

Ha Ön H2O ID-val rendelkezik, tekintse magát potenciálisan érintettnek, és cselekedjen most ahelyett, hogy megvárná a pontos megerősítést arról, mi szivárgott ki. A gyakorlati kockázatok a tagságát csalétekként használó adathalász üzenetek, valamint a támadók, akik egy újrahasznosított jelszót tesztelnek más oldalakon. Mindkettő kezelhető egy egyedi jelszóval, 2FA-val és a váratlan üzenetekkel szembeni egészséges gyanakvással.

Ne essen pánikba, és ne válaszoljon senkinek, aki kéretlenül felveszi Önnel a kapcsolatot az incidenssel kapcsolatban. A frissítésekért támaszkodjon a kiskereskedő hivatalos csatornáira.

Kulcsfontosságú tanulságok

  • Tekintse át H2O ID-ját és bármely más hűségfiókját még ma, és törölje azokat, amelyeket már nem használ.
  • Használjon egyedi jelszót minden fiókhoz, és kapcsolja be a 2FA-t.
  • Kezelje gyanúsan a pontokról, felfüggesztésekről vagy magáról az incidensről szóló üzeneteket, amíg azokat hivatalos csatornákon keresztül nem ellenőrizték.
  • Tartsa kéznél ezt a H2O ID adatvédelmi incidens ellenőrzőlistát a következő alkalomra, amikor egy kiskereskedő szivárgást tesz közzé.

A kiszivárgott személyes adatok védelmével kapcsolatos további lépésekért olvassa el Pentagon incidens válaszútmutatónkat és a Reqrea incidens történetét.