Pe 19 octombrie, H2O Retailing și Hankyu Hanshin Department Store au anunțat că o parte din înregistrările legate de aproximativ 1,26 milioane de membri H2O ID au fost scurse. Conform raportului de la ASCII.jp English Edition, incidentul afectează aproape toți membrii sistemului comun de ID de fidelitate. Dacă dețineți un H2O ID, această listă de verificare pentru breșa de date H2O ID acoperă ce trebuie să faceți acum, chiar dacă unele detalii rămân neclare.

Ce s-a scurs în breșa H2O ID

H2O ID este un login comun utilizat în serviciile grupului de magazine universale Hankyu Hanshin. Compania afirmă că o parte din cele aproximativ 1,26 milioane de înregistrări ale membrilor a fost scursă, iar titlul descrie impactul ca ajungând la aproape toți membrii.

Extrasul raportului disponibil pentru noi nu specifică ce câmpuri de date au fost expuse, cum s-a produs scurgerea sau cine a obținut înregistrările. Nu vom face speculații. Membrii ar trebui să urmărească notificările oficiale de la retailer, care ar trebui să precizeze exact ce câmpuri au fost implicate. Până atunci, este rezonabil să presupuneți că orice detalii personale pe care le-ați furnizat programului de fidelitate, cum ar fi numele sau informațiile de contact, ar putea fi vizate.

Scara este punctul cheie. Când un singur ID comun conectează multe magazine și servicii, un singur incident poate afecta aproape o întreagă bază de clienți dintr-o dată.

Riscuri de phishing pentru membrii cardurilor de fidelitate

Cea mai comună problemă ulterioară după o scurgere de date a unui membru retail nu este un hack dramatic al contului bancar. Este phishingul. Criminalii folosesc liste de membri scurse pentru a trimite mesaje care par a veni de la retailer, menționând adesea puncte, recompense sau verificarea contului.

Urmăriți aceste tipare:

  • Emailuri sau mesaje text care pretind că H2O ID-ul dumneavoastră este suspendat și vă cer să vă conectați printr-un link.
  • Mesaje despre puncte de fidelitate care expiră sau trageri la sorți cu premii.
  • Apeluri sau mesaje care fac referire la breșă în sine și vă oferă să vă "ajute" să vă securizați contul.
  • Solicitări de parole, coduri unică folosință sau detalii ale cardului de plată prin mesaj sau telefon.

O companie reală nu vă va cere parola sau un cod de verificare. Dacă un mesaj vă îngrijorează, nu folosiți linkul din el. Deschideți aplicația oficială a retailerului sau tastați adresa în browser dumneavoastră.

Există și reutilizarea credențialelor. Dacă ați folosit parola H2O ID oriunde altundeva, atacatorii pot încerca aceeași combinație pe alte servicii. Acest lucru funcționează doar când oamenii reciclează parolele, motiv pentru care pasul următor contează.

Lista dumneavoastră de verificare pentru breșa de date H2O ID: Cum să vă securizați conturile

Parcurgeți acești pași în ordine. Cei mai mulți durează doar câteva minute.

  1. Schimbați-vă parola H2O ID. Alegeți o parolă lungă și unică pe care nu ați mai folosit-o altundeva. Un manager de parole face acest lucru practic.
  2. Schimbați parolele reutilizate. Găsiți orice alt cont care partajează vechea parolă, începând cu conturile de email, bancare și de cumpărături, și actualizați fiecare.
  3. Activați autentificarea cu doi factori (2FA) oriunde este oferită, în special pe contul de email, deoarece acesta poate reseta restul loginurilor. O aplicație de autentificare este în general mai puternică decât codurile SMS.
  4. Revizuiți detaliile contului. Verificați ce informații personale și metode de plată salvate sunt atașate la H2O ID-ul dumneavoastră și eliminați tot ce nu aveți nevoie.
  5. Verificați activitatea recentă. Uitați-vă la soldurile de puncte, comenzi și orice carduri salvate pentru activitate pe care nu o recunoașteți.
  6. Salvați în bookmark site-ul și aplicația oficială. Folosiți-le în locul linkurilor din mesaje.
  7. Monitorizați-vă extrasele. Urmăriți extrasele de card și bancare pentru taxări necunoscute în săptămânile următoare.

Dacă ați făcut deja clic pe un link suspect sau ați introdus o parolă pe o pagină îndoielnică, schimbați imediat acea parolă și contactați emitentul cardului dacă ați partajat detalii de plată.

Pentru un cadru mai larg privind gestionarea datelor personale expuse, ghidul nostru despre pașii de răspuns la breșa de date Pentagon parcurge un proces similar pentru persoanele ale căror informații au fost scurse.

De ce programele de fidelitate colectează mai mult decât au nevoie

Programele de fidelitate cer adesea mai mult decât necesită o reducere: nume complete, adrese, numere de telefon, date de naștere și istorice de achiziții. Aceste date ajută la marketing, dar creează și un bazin mare de informații care devine o țintă și o răspundere dacă se scurge.

Un ID comun face acest lucru mai pronunțat. Un singur login care funcționează în multe magazine și servicii este convenabil, dar concentrează riscul. O singură vulnerabilitate poate expune un grup mare și variat de clienți.

Japonia a cunoscut și alte incidente recente care implică cantități mari de date personale. Raportul nostru despre breșa de check-in la hotelul Reqrea acoperă un caz diferit, un bucket de stocare configurat greșit care a expus documente de identitate, dar arată același principiu: cu cât o organizație deține mai puține date, cu atât mai puține pot fi expuse.

Ca client, vă puteți reduce expunerea oferind doar informațiile pe care un program le solicită, sărind peste câmpurile opționale și ștergând conturile pe care nu le mai folosiți.

Ce înseamnă acest lucru pentru dumneavoastră

Dacă aveți un H2O ID, tratați-vă ca potențial afectat și acționați acum în loc să așteptați confirmarea exactă a ceea ce s-a scurs. Riscurile practice sunt mesajele de phishing care folosesc calitatea de membru ca momeală și atacatorii care testează o parolă reutilizată pe alte site-uri. Ambele sunt gestionabile cu o parolă unică, 2FA și o suspiciune sănătoasă față de mesajele neașteptate.

Nu intrați în panică și nu răspundeți nimănui care vă contactează despre breșă fără să fi fost solicitat. Bazăți-vă pe canalele oficiale ale retailerului pentru actualizări.

Concluzii cheie

  • Revizuiți-vă H2O ID-ul și orice alte conturi de fidelitate astăzi și ștergeți-le pe cele pe care nu le mai folosiți.
  • Folosiți o parolă unică pentru fiecare cont și activați 2FA.
  • Tratați mesajele despre puncte, suspendări sau breșa în sine ca suspecte până când sunt verificate prin canale oficiale.
  • Păstrați această listă de verificare pentru breșa de date H2O ID la îndemână pentru următoarea dată când un retailer dezvăluie o scurgere.

Pentru pași suplimentari privind protejarea datelor personale expuse, citiți ghidul nostru de răspuns la breșa Pentagon și povestea breșei Reqrea.