19 октября компании H2O Retailing и Hankyu Hanshin Department Store объявили, что часть записей, связанных с примерно 1,26 млн участников H2O ID, была раскрыта. Согласно отчёту ASCII.jp English Edition, инцидент затрагивает почти всех участников общей системы лояльности. Если у вас есть H2O ID, эта памятка по утечке данных H2O ID описывает, что делать сейчас, даже пока некоторые детали остаются неясными.

Что утекло при взломе H2O ID

H2O ID — это общий логин, используемый в сервисах группы универмагов Hankyu Hanshin. Компания сообщает, что часть записей примерно 1,26 млн участников была раскрыта, а в заголовке масштаб описывается как затрагивающий почти всех участников.

Доступный нам фрагмент отчёта не уточняет, какие поля данных были раскрыты, как произошла утечка и кто получил записи. Мы не собираемся строить догадки. Участникам следует следить за официальными уведомлениями ритейлера, в которых должно быть точно указано, какие поля были затронуты. До тех пор разумно предполагать, что любые личные данные, которые вы предоставили программе лояльности, такие как имя или контактная информация, могли быть затронуты.

Масштаб — ключевой момент. Когда единый общий ID связывает множество магазинов и сервисов, один инцидент может затронуть почти всю клиентскую базу сразу.

Риски фишинга для участников программ лояльности

Самая распространённая последующая проблема после утечки данных розничной программы лояльности — не драматичный взлом вашего банковского счёта. Это фишинг. Преступники используют утёкшие списки участников, чтобы рассылать сообщения, которые выглядят как пришедшие от ритейлера, часто упоминая баллы, вознаграждения или проверку аккаунта.

Обращайте внимание на эти схемы:

  • Электронные письма или текстовые сообщения, утверждающие, что ваш H2O ID заблокирован, и просящие войти через ссылку.
  • Сообщения об истекающих баллах лояльности или розыгрышах призов.
  • Звонки или сообщения, ссылающиеся на саму утечку и предлагающие «помочь» защитить ваш аккаунт.
  • Запросы паролей, одноразовых кодов или данных платёжных карт по сообщению или телефону.

Настоящая компания не будет запрашивать ваш пароль или код подтверждения. Если сообщение вызывает беспокойство, не используйте ссылку в нём. Откройте официальное приложение ритейлера или введите адрес в браузере самостоятельно.

Существует также проблема повторного использования учётных данных. Если вы использовали пароль от H2O ID где-либо ещё, злоумышленники могут попробовать ту же комбинацию на других сервисах. Это работает только тогда, когда люди повторно используют пароли, поэтому следующий шаг важен.

Ваша памятка по утечке данных H2O ID: как защитить свои аккаунты

Выполните эти шаги по порядку. Большинство занимает всего несколько минут.

  1. Смените пароль H2O ID. Выберите длинный уникальный пароль, который вы никогда не использовали elsewhere. Менеджер паролей делает это практичным.
  2. Смените повторно используемые пароли. Найдите любой другой аккаунт, использующий старый пароль, начиная с электронной почты, банковских и торговых аккаунтов, и обновите каждый из них.
  3. Включите двухфакторную аутентификацию (2FA) везде, где она предлагается, особенно на вашем аккаунте электронной почты, поскольку через него можно сбросить остальные логины. Приложение-аутентификатор обычно надёжнее SMS-кодов.
  4. Проверьте данные своего аккаунта. Проверьте, какая личная информация и сохранённые способы оплаты привязаны к вашему H2O ID, и удалите всё, что вам не нужно.
  5. Проверьте недавнюю активность. Посмотрите балансы баллов, заказы и любые сохранённые карты на предмет активности, которую вы не узнаёте.
  6. Добавьте в закладки официальный сайт и приложение. Используйте их вместо ссылок в сообщениях.
  7. Следите за выписками. В ближайшие недели проверяйте выписки по картам и банковским счетам на предмет незнакомых списаний.

Если вы уже нажали на подозрительную ссылку или ввели пароль на сомнительной странице, немедленно смените этот пароль и свяжитесь с эмитентом вашей карты, если вы сообщили платёжные данные.

Для более широкого подхода к обращению с раскрытыми персональными данными наше руководство по шагам реагирования на утечку данных Пентагона описывает аналогичный процесс для людей, чья информация была раскрыта.

Почему программы лояльности собирают больше, чем нужно

Программы лояльности часто запрашивают больше, чем требуется для скидки: полные имена, адреса, номера телефонов, даты рождения и историю покупок. Эти данные помогают в маркетинге, но также создают большой пул информации, который становится целью и обузой в случае утечки.

Общий ID делает это ещё более выраженным. Один логин, работающий во многих магазинах и сервисах, удобен, но он концентрирует риск. Одна слабость может раскрыть большую и разнообразную группу клиентов.

В Японии недавно произошли другие инциденты с большими объёмами персональных данных. Наш отчёт об утечке при регистрации в отелях Reqrea описывает другой случай — неправильно настроенное хранилище, раскрывшее документы, удостоверяющие личность, — но он показывает тот же принцип: чем меньше данных хранит организация, тем меньше может быть раскрыто.

Как клиент, вы можете снизить свою подверженность риску, предоставляя только ту информацию, которую требует программа, пропуская необязательные поля и удаляя аккаунты, которыми вы больше не пользуетесь.

Что это значит для вас

Если у вас есть H2O ID, считайте себя потенциально затронутым и действуйте сейчас, а не ждите подтверждения того, что именно утекло. Практические риски — это фишинговые сообщения, использующие ваше членство как приманку, и злоумышленники, проверяющие повторно используемый пароль на других сайтах. И то, и другое управляемо с помощью уникального пароля, 2FA и здоровой подозрительности к неожиданным сообщениям.

Не паникуйте и не отвечайте никому, кто связывается с вами по поводу утечки без вашего запроса. Полагайтесь на официальные каналы ритейлера для получения обновлений.

Ключевые выводы

  • Проверьте свой H2O ID и любые другие аккаунты лояльности сегодня и удалите те, которыми вы больше не пользуетесь.
  • Используйте уникальный пароль для каждого аккаунта и включите 2FA.
  • Относитесь к сообщениям о баллах, блокировках или самой утечке как к подозрительным, пока они не подтверждены через официальные каналы.
  • Держите эту памятку по утечке данных H2O ID под рукой на случай следующего раскрытия утечки ритейлером.

Для дальнейших шагов по защите раскрытых персональных данных прочитайте наше руководство по реагированию на утечку Пентагона и историю утечки Reqrea.