Um ataque de malware a um prestador de serviços ligado à Nippon Columbia expôs os registos pessoais de aproximadamente 8,63 milhões de clientes da empresa japonesa de karaokê Daiichi Kosho, juntamente com dados de cerca de 93 000 funcionários. A violação de dados da Nippon Columbia é um exemplo claro de como as suas informações podem ser colocadas em risco por uma empresa com a qual nunca lidou diretamente.

O que aconteceu e quem foi afetado

De acordo com as notícias, a Daiichi Kosho confirmou que os sistemas de um prestador de serviços foram atingidos por malware, levando a uma fuga de informações pessoais. Os grupos afetados incluem aproximadamente 8,63 milhões de clientes e cerca de 93 000 funcionários.

O cronograma na fonte é curto. O incidente foi descoberto a 5 de outubro, e o sistema afetado foi isolado a 6 de outubro. O isolamento rápido é um sinal positivo, mas a fonte não indica quanto tempo o malware pode ter estado presente antes da descoberta, nem detalha exatamente quais os campos que foram retirados, para além de descrever os dados como informações pessoais. Os leitores que utilizam os serviços da Daiichi Kosho devem estar atentos a avisos oficiais da empresa para obter detalhes específicos.

Como os sistemas de um prestador de serviços se tornaram o ponto fraco

A violação não começou dentro da própria rede central da Daiichi Kosho, de acordo com o relato fornecido. Começou com um prestador de serviços, um terceiro que tratava dados em nome da empresa. Esse detalhe é importante porque mostra um padrão familiar: as organizações podem investir fortemente na sua própria segurança, mas os dados dos clientes continuam a residir em sistemas geridos por fornecedores, parceiros e prestadores de serviços.

Para os clientes, isto é difícil de ver e ainda mais difícil de controlar. Normalmente não pode auditar os fornecedores que uma empresa utiliza, e pode não saber que estes detêm os seus dados até receber uma notificação. O malware em si é descrito apenas em termos gerais na fonte, pelo que seria especulação dizer como entrou ou o que foi concebido para fazer.

Se quiser um contexto mais amplo sobre como os incidentes de software malicioso se desenrolam, a nossa análise sobre por que a proteção contra ransomware precisa de mais do que backups explica por que a prevenção e a resposta são ambas importantes para as organizações.

Riscos de fraude e phishing após uma violação

Quando detalhes pessoais são divulgados, o perigo imediato para os indivíduos raramente é a própria violação. É o que vem a seguir. Detalhes de contacto, nomes e informações relacionadas com contas são úteis para os burlões porque fazem com que as mensagens fraudulentas pareçam credíveis.

Espere possíveis tentativas de seguimento, tais como:

  • Emails ou mensagens de texto que afirmam ser da empresa afetada, pedindo-lhe para verificar a sua conta ou redefinir uma palavra-passe.
  • Chamadas telefónicas que referem detalhes reais sobre si para criar confiança.
  • Ofertas falsas de reembolso, compensação ou "verificação de segurança" ligadas ao incidente.

Vimos como os detalhes de contacto expostos são usados após uma fuga na nossa cobertura da violação de dados da ADT que afetou 5,5 milhões de clientes, e as táticas baseadas em voz no incidente de vishing da ADT mostram como as chamadas telefónicas podem ser tão perigosas como o email.

O que uma VPN pode e não pode fazer, e passos a tomar agora

Vale a pena ser direto aqui: uma VPN não teria impedido esta violação. Uma VPN encripta o tráfego entre o seu dispositivo e o servidor VPN e oculta o seu endereço IP dos sites que visita. Não protege dados que já foram entregues a uma empresa, e não pode proteger os servidores de um prestador de serviços depois de estes serem comprometidos.

O que ajuda é um conjunto de hábitos práticos:

  • Altere palavras-passe reutilizadas. Se usou a mesma palavra-passe para um serviço de karaokê e para qualquer outra coisa, altere-a em todos os lugares. Use uma palavra-passe única para cada conta, idealmente com um gestor de palavras-passe.
  • Ative a autenticação de dois fatores (2FA). Mesmo que uma palavra-passe seja exposta, um segundo fator torna a apropriação de conta muito mais difícil.
  • Trate mensagens inesperadas com suspeita. Não clique em links em mensagens sobre a violação. Vá diretamente ao site oficial ou à aplicação da empresa.
  • Verifique chamadas de forma independente. Se alguém telefonar a afirmar representar a empresa, desligue e ligue de volta usando um número do site oficial.
  • Monitorize as suas contas. Esteja atento a inícios de sessão desconhecidos, emails de redefinição de palavra-passe ou atividade financeira.

O que isto significa para si

Se utilizou os serviços de karaokê da Daiichi Kosho, ou trabalha para a empresa ou para um prestador de serviços relacionado, assuma que os seus detalhes de contacto podem estar nas mãos de burlões e aja em conformidade. Se não tem qualquer ligação à empresa, a lição continua a aplicar-se: a sua exposição depende de todas as organizações que tocam os seus dados, não apenas daquelas que escolhe.

A violação de dados da Nippon Columbia sublinha que as defesas mais úteis estão do seu lado do ecrã: palavras-passe únicas, 2FA e um saudável ceticismo em relação a mensagens não solicitadas. Comece por atualizar hoje quaisquer palavras-passe reutilizadas, ative a 2FA em contas importantes e leia a nossa cobertura da violação da ADT para ver como detalhes de contacto divulgados são transformados em burlas convincentes.