Due incidenti di sicurezza separati, uno in Giappone e uno a Taiwan, sono stati confermati questa settimana. La violazione dei dati di Comic CMoa colpisce uno dei più grandi negozi di ebook del Giappone, con indirizzi email e hash delle password segnalati come perduti. Separatamente, ACCESS ha confermato che 1.305 account di carte sono stati rubati da CROS. I due casi non sono correlati, ma insieme mostrano due tipi comuni di esposizione: credenziali di accesso e dati delle carte di pagamento.

I dettagli disponibili finora sono limitati, quindi questo post si attiene a quanto è stato riportato e spiega cosa significa in pratica.

Cosa è trapelato nelle violazioni di Comic CMoa e ACCESS

Secondo quanto riportato, la violazione dei dati di Comic CMoa coinvolge un popolare negozio di ebook giapponese, e i dati perduti includono indirizzi email degli utenti e hash delle password. Un hash della password è una versione cifrata di una password, non la password stessa. Le aziende memorizzano gli hash per non dover conservare password in testo semplice sui propri server.

Il secondo incidente è separato. ACCESS ha confermato che 1.305 account di carte sono stati rubati da CROS. La fonte descrive la scala come 1.305 account di carte, e non fornisce ulteriori dettagli nel materiale che abbiamo esaminato. Non intendiamo ipotizzare quali campi siano stati presi, come gli attaccanti siano entrati, o chi ci sia dietro nessuno dei due incidenti.

Vale la pena sottolineare che si tratta di due aziende diverse, due sistemi diversi e due tipi diversi di dati. I lettori non dovrebbero presumere che un incidente sia collegato all'altro.

Perché le password con hash mettono comunque a rischio gli utenti

Sentire che sono stati presi solo gli hash può sembrare rassicurante, ma non dovrebbe far rilassare nessuno. Gli hash sono uno strato di protezione, non una garanzia. Quanto è sicura una password con hash dipende da quanto era forte la password originale e da come il servizio l'ha trasformata in hash.

Se un attaccante ottiene una serie di hash, può provare a risalire all'indietro indovinando password comuni, calcolando l'hash di ogni tentativo e confrontando i risultati. Le password brevi, prevedibili o comunemente usate tendono a cadere per prime. Le passphrase forti e uniche sono molto più difficili da recuperare.

Anche gli indirizzi email contano. Anche senza alcuna password, un elenco di email legate a un servizio specifico può essere usato per phishing mirato, come messaggi falsi che affermano di provenire dal negozio di ebook e chiedono di effettuare nuovamente l'accesso.

Il pericolo pratico più grande è il riutilizzo delle password. Se hai usato la tua password di Comic CMoa su un altro sito, chiunque riesca a decifrare quell'hash potrebbe provare la stessa combinazione di email e password altrove. Questo è noto come credential stuffing, e funziona solo quando le persone riutilizzano le password.

Cosa significa il furto delle carte CROS per i clienti colpiti

I dati delle carte sono un problema diverso. Con 1.305 account di carte segnalati come rubati da CROS, la principale preoccupazione per i clienti colpiti sono gli addebiti non autorizzati e i tentativi di frode. Gli emittenti delle carte generalmente dispongono di procedure per sostituire le carte compromise e contestare le transazioni fraudolente, ma possono agire solo se noti un problema o se vieni informato.

Se vieni contattato da ACCESS o dall'emittente della tua carta in merito a questo incidente, prendi sul serio l'avviso, ma verificalo prima. Le violazioni sono spesso seguite da messaggi truffaldini che imitano l'azienda colpita. Usa i dettagli di contatto stampati sulla tua carta o presi direttamente dal sito web ufficiale dell'azienda, non i link in un'email o in un SMS inaspettati.

I piccoli addebiti di prova sono un segno comune di uso improprio della carta, quindi anche le transazioni minori che non riconosci meritano una chiamata al tuo emittente.

Passi per proteggere i tuoi account dopo una violazione

Non devi farti prendere dal panico, ma alcune azioni rapide fanno molta differenza:

  • Cambia le password riutilizzate. Se la tua password di Comic CMoa è stata usata altrove, sostituiscila su ogni altro account. Rendila unica per ciascuno.
  • Attiva l'autenticazione a due fattori (2FA). Anche se qualcuno ha la tua password, un secondo fattore rende molto più difficile l'accesso. I codici tramite app o le chiavi hardware sono generalmente più sicuri degli SMS.
  • Usa un gestore di password. Può generare password lunghe e casuali e ricordarle per te, il che elimina la tentazione di riutilizzarle.
  • Monitora gli estratti conto delle carte. Controlla regolarmente i tuoi account, imposta avvisi sulle transazioni se la tua banca li offre, e segnala immediatamente qualsiasi cosa insolita.
  • Diffida dei messaggi successivi. Non cliccare sui link in email inaspettate riguardanti uno dei due incidenti.

Le stesse abitudini valgono dopo qualsiasi violazione, inclusi gli attacchi in cui i criminali mirano a danneggiare direttamente una vittima, come nel caso di un affiliato del ransomware Akira il cui attacco si è ritorto contro. Gli attaccanti commettono errori, ma non dovresti contarci per proteggere i tuoi dati.

Cosa significa per te

Se hai un account Comic CMoa, presupponi che il tuo indirizzo email possa essere nelle mani di terzi e che il tuo hash della password potrebbe eventualmente essere decifrato, soprattutto se la password era debole. Cambiala, e cambiala ovunque tu l'abbia usata. Se sei collegato a CROS o a un account carta ACCESS, monitora attentamente i tuoi estratti conto e conferma qualsiasi comunicazione attraverso canali ufficiali.

Se non fai parte di nessuno dei due gruppi, questi incidenti sono comunque un utile promemoria. La maggior parte dei danni derivanti dalle violazioni arriva più tardi, quando i dettagli rubati vengono riutilizzati contro persone che non hanno cambiato le proprie abitudini.

Punti chiave

La violazione dei dati di Comic CMoa e il furto delle carte ACCESS CROS sono eventi separati, ma il consiglio è lo stesso: agisci presto. Sostituisci le password riutilizzate con quelle uniche, abilita la 2FA, conserva le credenziali in un gestore di password e rivedi regolarmente l'attività delle tue carte. Dieci minuti di pulizia ora sono molto più facili che affrontare in seguito takeover di account o addebiti fraudolenti.