Napoleon Perdis-datainnbrudd: 339 000 australske oppføringer lekket
En trusselaktør under aliaset "2019" har påtatt seg ansvaret for å ha lekket en database med mer enn 339 000 kundeposter tilhørende Napoleon Perdis, det australske luksuskosmetikkmerket. Det påståtte innbruddet, som ennå ikke er uavhengig bekreftet av selskapet, skal inneholde navn, e-postadresser, telefonnumre samt både hjemme- og leveringsadresser. Hvis dette blir bekreftet, vil hendelsen være en av de mer betydelige eksponeringene av detaljhandelsdata som har rammet australske forbrukere i nyere tid, og typen data som er involvert gjør den spesielt farlig.
Hvilke data ble eksponert, og hvem er i risikosonen
Det påståtte datasettet går langt utover det grunnleggende. I tillegg til kontaktopplysninger skal de lekkede postene inneholde lojalitetsprogramdata og informasjon om samlet forbruk. Denne kombinasjonen er betydelig. Et fullt navn koblet med hjemmeadresse, telefonnummer og e-post er nok til å sette i gang overbevisende etterligningsangrep. Legg til kjøpshistorikk og lojalitetsnivå, så har angripere en detaljert profil av hver enkeltpersons kjøpsatferd og økonomiske vaner.
De omtrent 339 100 berørte personene er hovedsakelig australske forbrukere som har handlet hos Napoleon Perdis, enten i butikk eller på nett. Fordi dataene inkluderer leveringsadresser, kan selv kunder som brukte en jobb- eller alternativ e-postadresse likevel identifiseres og lokaliseres. Alle som noen gang har opprettet en Napoleon Perdis-konto eller meldt seg på lojalitetsprogrammet deres, bør behandle personopplysningene sine som potensielt kompromitterte inntil selskapet gir klarhet.
Hvorfor lojalitets- og forbruksdata hever trusselnivået
De fleste diskusjoner om datainnbrudd i detaljhandelen fokuserer på betalingskortnumre eller passord. Disse er alvorlige, men lojalitets- og forbruksdata introduserer en annen type risiko som ofte blir undervurdert.
Når angripere vet hvor mye en kunde har brukt hos en forhandler, kan de prioritere målene sine. Høyverdikunder er mer sannsynlige mål for sofistikerte phishing-kampanjer, svindel med falske refusjoner eller til og med fysiske tilnærminger. En svindler som vet at du er premium lojalitetsmedlem kan utforme en svært troverdig e-post som hevder å tilby en eksklusiv belønning eller løse et faktureringsproblem, komplett med ditt korrekte navn og adresse.
Denne profileringsmuligheten er det som skiller et høyrisikoinnbrudd fra et rutinemessig. Innbrudd som involverer denne typen data har også lengre holdbarhet: informasjonen utløper ikke slik et passord eller kredittkortnummer kan gjøre etter en tilbakestilling.
Hvordan angripere utnytter stjålne adresse- og telefonregistre
Hjemmeadresser og telefonnumre er de to datapunktene som flytter et innbrudd fra den digitale verden til den fysiske. Angripere kan bruke dem til å gjennomføre SIM-swapping-angrep, der en svindler overbeviser en mobiloperatør om å overføre nummeret ditt til en enhet de kontrollerer, og dermed omgå SMS-basert tofaktorautentisering. Telefonnumre muliggjør også vishing, eller talephishing, der innringere utgir seg for å være banker, offentlige etater eller forhandlere for å hente ut ytterligere personlige eller økonomiske opplysninger.
ADT-datainnbruddet som eksponerte 10 millioner oppføringer via vishing er en tydelig illustrasjon på hvordan telefonbasert sosial manipulering skaleres når angripere har en klar tilgang på bekreftede kontaktopplysninger. Hjemmeadresser legger til en ytterligere dimensjon og muliggjør postsnus, pakkeavskjæring eller målrettede tilnærminger som utnytter offerets følelse av fortrolighet med sitt eget bosted.
I en separat, men strukturelt lignende sak, viste ADT-innbruddet som rammet 5,5 millioner kunder hvordan navn, telefonnumre og hjemmeadresser til sammen utgjør et komplett verktøysett for identitetssvindel. Napoleon Perdis-lekkasjen, hvis bekreftet, deler denne profilen nesten nøyaktig.
Forhandlere er attraktive mål nettopp fordi deres databaser kombinerer identitetsdata med atferdsdata, og ofte med langt mindre sikkerhetsinvesteringer enn finansinstitusjoner. Den påståtte Napoleon Perdis-hendelsen passer inn i dette mønsteret.
Tiltak australske forbrukere kan ta for å beskytte seg nå
Hvis du noen gang har opprettet en konto hos Napoleon Perdis eller deltatt i lojalitetsprogrammet deres, er det praktiske steg du kan ta umiddelbart.
Sjekk e-posten din for mistenkelige meldinger. Phishing-forsøk har en tendens til å øke i ukene etter en innbruddsvarsling, ofte ved å utgi seg for å være det berørte merket selv. Vær skeptisk til enhver e-post som hevder å adressere innbruddet, tilby kompensasjon eller be om kontobekreftelse.
Aktiver tofaktorautentisering på alle finanskontoer. Siden telefonnumre er en del av den påståtte lekkasjen, prioriter autentiseringsapper fremfor SMS-baserte koder der det er mulig.
Overvåk kredittfilen din. Australske forbrukere kan be om en kredittrapport fra de største kredittbyråene og, hvis bekymret, legge inn en midlertidig sperre mot nye kredittsøknader. Tjenester som IDCARE, Australias nasjonale identitets- og cybersupporttjeneste, kan hjelpe personer som tror deres data har blitt misbrukt.
Vær oppmerksom på fysisk postsnus. Fordi leveringsadresser er inkludert i de påståtte dataene, hold utkikk etter uventede pakker, omdirigeringsmeldinger eller forespørsler om å bekrefte leveringsdetaljer.
Gjennomgå dataavtrykket ditt bredt. Dette innbruddet er en nyttig påminnelse om å revidere hvilke forhandlere og tjenester som oppbevarer din personlige informasjon. Der det er mulig, slett kontoer du ikke lenger bruker, og meld deg av lojalitetsprogrammer som krever mer data enn du er komfortabel med å dele.
Påstanden om Napoleon Perdis-datainnbruddet er fortsatt under etterforskning, og selskapet har ennå ikke avgitt en omfattende offentlig uttalelse. Men uansett om innbruddet til slutt bekreftes i det påståtte omfanget, er hendelsen en påminnelse om at databaser for butikklojalitet inneholder langt mer sensitiv informasjon enn de fleste kunder er klar over. Å være proaktiv nå er den mest effektive måten å begrense din eksponering på hvis dataene faktisk spres videre.
