1. oktober kunngjorde H2O Retailing og Hankyu Hanshin Department Store at en del av postene knyttet til omtrent 1,26 millioner H2O ID-medlemmer hadde blitt lekket. Ifølge rapporten fra ASCII.jp English Edition rammer hendelsen nesten alle medlemmer av det felles lojalitets-ID-systemet. Hvis du har en H2O ID, dekker denne sjekklisten for H2O ID-datalekkasje hva du bør gjøre nå, selv mens noen detaljer fortsatt er uklare.

Hva som ble lekket i H2O ID-brudd

H2O ID er en felles innlogging som brukes på tvers av Hankyu Hanshin-varehusgruppens tjenester. Selskapet sier at en del av de omtrent 1,26 millioner medlemsregistrene ble lekket, og overskriften beskriver omfanget som at det når nesten alle medlemmer.

Utdraget av rapporten som er tilgjengelig for oss, spesifiserer ikke hvilke datafelt som ble eksponert, hvordan lekkasjen skjedde, eller hvem som fikk tak i registrene. Vi kommer ikke til å gjette. Medlemmer bør følge med på offisielle varsler fra forhandleren, som bør angi nøyaktig hvilke felt som var involvert. Inntil da er det fornuftig å anta at alle personopplysninger du ga lojalitetsprogrammet, som navn eller kontaktinformasjon, kan være berørt.

Omfanget er det viktigste poenget. Når én felles ID kobler sammen mange butikker og tjenester, kan én hendelse berøre nesten en hel kundebase på én gang.

Phishing-risiko for medlemmer av lojalitetskort

Det vanligste oppfølgingsproblemet etter en lekkasje av et butikkmedlemskap er ikke et dramatisk hack av bankkontoen din. Det er phishing. Kriminelle bruker lekkede medlemslister til å sende meldinger som ser ut som de kommer fra forhandleren, og nevner ofte poeng, belønninger eller kontobekreftelse.

Vær oppmerksom på disse mønstrene:

  • E-poster eller tekstmeldinger som hevder at H2O ID-en din er suspendert og ber deg logge inn via en lenke.
  • Meldinger om utløpende lojalitetspoeng eller premietrekninger.
  • Telefoner eller meldinger som refererer til selve bruddet og tilbyr å «hjelpe» deg med å sikre kontoen din.
  • Forespørsler om passord, engangskoder eller betalingskortopplysninger via melding eller telefon.

Et ekte selskap vil ikke be om passordet ditt eller en bekreftelseskode. Hvis en melding bekymrer deg, ikke bruk lenken i den. Åpne forhandlerens offisielle app eller skriv inn adressen i nettleseren selv.

Det er også gjenbruk av påloggingsinformasjon. Hvis du brukte H2O ID-passordet ditt noe annet sted, kan angripere prøve den samme kombinasjonen på andre tjenester. Dette fungerer bare når folk gjenbruker passord, og det er derfor neste steg er viktig.

Din sjekkliste for H2O ID-datalekkasje: Slik sikrer du kontoene dine

Gå gjennom disse stegene i rekkefølge. De fleste tar bare noen få minutter.

  1. Endre H2O ID-passordet ditt. Velg et langt, unikt passord som du aldri har brukt andre steder. En passordbehandler gjør dette praktisk.
  2. Endre gjenbrukte passord. Finn enhver annen konto som deler det gamle passordet, start med e-post, bank og shoppingkontoer, og oppdater hver enkelt.
  3. Slå på tofaktorautentisering (2FA) der det tilbys, spesielt på e-postkontoen din, siden den kan tilbakestille resten av innloggingene dine. En autentiseringsapp er generelt sterkere enn SMS-koder.
  4. Gå gjennom kontodetaljene dine. Sjekk hvilken personlig informasjon og lagrede betalingsmetoder som er knyttet til H2O ID-en din, og fjern alt du ikke trenger.
  5. Sjekk nylig aktivitet. Se på poengsaldoer, bestillinger og eventuelle lagrede kort for aktivitet du ikke kjenner igjen.
  6. Bokmerk det offisielle nettstedet og appen. Bruk dem i stedet for lenker i meldinger.
  7. Overvåk kontoutskriftene dine. Følg med på kort- og bankutskriftene dine for ukjente belastninger de kommende ukene.

Hvis du allerede har klikket på en mistenkelig lenke eller skrevet inn et passord på en tvilsom side, endre passordet umiddelbart og kontakt kortutstederen din hvis du delte betalingsopplysninger.

For et bredere rammeverk for håndtering av eksponerte personopplysninger, går vår guide til Pentagon-datalekkasjens responstrinn gjennom en lignende prosess for personer hvis informasjon har blitt lekket.

Hvorfor lojalitetsprogrammer samler inn mer enn de trenger

Lojalitetsprogrammer ber ofte om mer enn en rabatt krever: fulle navn, adresser, telefonnumre, fødselsdatoer og kjøpshistorikk. Disse dataene hjelper med markedsføring, men skaper også en stor informasjonspool som blir et mål og en byrde hvis den lekkes.

En felles ID gjør dette mer uttalt. Én innlogging som fungerer på tvers av mange butikker og tjenester er praktisk, men den konsentrerer risikoen. En enkelt svakhet kan eksponere en stor og variert gruppe kunder.

Japan har sett andre nylige hendelser som involverer store mengder personopplysninger. Vår rapport om Reqrea-hotellets innsjekkingsbrudd dekker et annet tilfelle, en feilkonfigurert lagringsbøtte som eksponerte identitetsdokumenter, men den viser samme prinsipp: jo mindre data en organisasjon holder, jo mindre kan eksponeres.

Som kunde kan du redusere eksponeringen din ved bare å gi informasjonen et program krever, hoppe over valgfrie felt og slette kontoer du ikke lenger bruker.

Hva dette betyr for deg

Hvis du har en H2O ID, bør du behandle deg selv som potensielt berørt og handle nå i stedet for å vente på bekreftelse på nøyaktig hva som lekket. De praktiske risikoene er phishing-meldinger som bruker medlemskapet ditt som agn, og angripere som tester et gjenbrukt passord på andre nettsteder. Begge er håndterbare med et unikt passord, 2FA og sunn skepsis til uventede meldinger.

Ikke få panikk, og ikke svar til noen som kontakter deg om bruddet uoppfordret. Stol på forhandlerens offisielle kanaler for oppdateringer.

Viktige punkter

  • Gå gjennom H2O ID-en din og eventuelle andre lojalitetskontoer i dag, og slett de du ikke lenger bruker.
  • Bruk et unikt passord for hver konto og aktiver 2FA.
  • Behandle meldinger om poeng, suspensjoner eller selve bruddet som mistenkelige til de er verifisert gjennom offisielle kanaler.
  • Ha denne sjekklisten for H2O ID-datalekkasje for hånden neste gang en forhandler avslører en lekkasje.

For flere trinn om beskyttelse av eksponerte personopplysninger, les vår Pentagon-bruddresponsguide og Reqrea-bruddhistorien.