Den 19 oktober meddelade H2O Retailing och Hankyu Hanshin Department Store att en del av uppgifterna kopplade till cirka 1,26 miljoner H2O ID-medlemmar hade läckt. Enligt rapporten från ASCII.jp English Edition berör incidenten nästan alla medlemmar i det gemensamma lojalitets-ID-systemet. Om du har ett H2O ID täcker den här checklistan för dataintrånget mot H2O ID vad du bör göra nu, även medan vissa detaljer fortfarande är oklara.

Vad som läckte i intrånget mot H2O ID

H2O ID är en gemensam inloggning som används across Hankyu Hanshin-varuhusgruppens tjänster. Företaget uppger att en del av de cirka 1,26 miljoner medlemsuppgifterna har läckt, och rubriken beskriver omfattningen som att den når nästan alla medlemmar.

Det utdrag av rapporten som vi har tillgång till anger inte vilka datafält som exponerades, hur läckan gick till eller vem som fick tag i uppgifterna. Vi tänker inte gissa. Medlemmar bör hålla utkik efter officiella meddelanden från återförsäljaren, som bör redogöra exakt för vilka fält som berördes. Fram till dess är det klokt att anta att alla personuppgifter du lämnade till lojalitetsprogrammet, såsom ditt namn eller kontaktinformation, kan vara berörda.

Omfattningen är den viktigaste punkten. När ett enda gemensamt ID kopplar samman många butiker och tjänster kan en enda incident drabba nästan en hel kundbas på en gång.

Nätfiskerisker för lojalitetskortsinnehavare

Det vanligaste följdproblemet efter en läcka hos en detaljhandelsmedlemsklubb är inte ett dramatiskt hack av ditt bankkonto. Det är nätfiske. Brottslingar använder läckta medlemslistor för att skicka meddelanden som ser ut att komma från återförsäljaren, ofta med hänvisning till poäng, belöningar eller kontoverifiering.

Var uppmärksam på dessa mönster:

  • E-postmeddelanden eller textmeddelanden som påstår att ditt H2O ID är avstängt och ber dig logga in via en länk.
  • Meddelanden om poäng som snart går ut eller prisdragningar.
  • Samtal eller meddelanden som hänvisar till själva intrånget och erbjuder sig att "hjälpa" dig säkra ditt konto.
  • Förfrågningar om lösenord, engångskoder eller betalkortsuppgifter via meddelande eller telefon.

Ett riktigt företag kommer inte att be om ditt lösenord eller en verifieringskod. Om ett meddelande oroar dig ska du inte använda länken i det. Öppna återförsäljarens officiella app eller skriv in adressen i webbläsaren själv.

Det finns också återanvändning av inloggningsuppgifter. Om du använde ditt H2O ID-lösenord någon annanstans kan angripare prova samma kombination på andra tjänster. Det fungerar bara när människor återanvänder lösenord, vilket är anledningen till att nästa steg är viktigt.

Din checklista för dataintrånget mot H2O ID: Så skyddar du dina konton

Gå igenom dessa steg i ordning. De flesta tar bara några minuter.

  1. Byt ditt H2O ID-lösenord. Välj ett långt, unikt lösenord som du aldrig har använt någon annanstans. En lösenordshanterare gör detta praktiskt.
  2. Byt återanvända lösenord. Hitta alla andra konton som delar det gamla lösenordet, börja med e-post-, bank- och shoppingkonton, och uppdatera vart och ett.
  3. Aktivera tvåfaktorsautentisering (2FA) där det erbjuds, särskilt på ditt e-postkonto, eftersom det kan återställa resten av dina inloggningar. En autentiseringsapp är i allmänhet starkare än SMS-koder.
  4. Granska dina kontouppgifter. Kontrollera vilka personuppgifter och sparade betalningsmetoder som är kopplade till ditt H2O ID och ta bort allt du inte behöver.
  5. Kontrollera nyligen genomförd aktivitet. Titta på poängsaldo, beställningar och sparade kort efter aktivitet du inte känner igen.
  6. Bokmärk den officiella webbplatsen och appen. Använd dem i stället för länkar i meddelanden.
  7. Övervaka dina kontoutdrag. Håll utkik efter obekanta debiteringar på dina kort- och bankutdrag under de kommande veckorna.

Om du redan har klickat på en misstänkt länk eller angett ett lösenord på en tveksam sida ska du byta det lösenordet omedelbart och kontakta din kortutgivare om du delade betalningsuppgifter.

För ett bredare ramverk för hantering av exponerade personuppgifter går vår guide till Pentagons åtgärdssteg vid dataintrång igenom en liknande process för personer vars uppgifter har läckt.

Varför lojalitetsprogram samlar in mer än de behöver

Lojalitetsprogram ber ofta om mer än vad en rabatt kräver: fullständiga namn, adresser, telefonnummer, födelsedatum och köphistorik. Uppgifterna hjälper till med marknadsföring, men de skapar också en stor pool av information som blir ett mål och en belastning om den läcker.

Ett gemensamt ID gör detta mer uttalat. En inloggning som fungerar across många butiker och tjänster är bekväm, men den koncentrerar risken. En enda svaghet kan exponera en stor och varierad grupp kunder.

Japan har sett andra nyliga incidenter som involverar stora mängder personuppgifter. Vår rapport om Reqrea-hotellets incheckningsintrång täcker ett annat fall, en felkonfigurerad lagringsenhet som exponerade identitetshandlingar, men den visar samma princip: ju mindre data en organisation har, desto mindre kan exponeras.

Som kund kan du minska din exponering genom att bara lämna den information som ett program kräver, hoppa över valfria fält och radera konton du inte längre använder.

Vad detta innebär för dig

Om du har ett H2O ID bör du betrakta dig själv som potentiellt berörd och agera nu i stället för att vänta på bekräftelse av exakt vad som läckte. De praktiska riskerna är nätfiskemeddelanden som använder ditt medlemskap som bete och angripare som testar ett återanvänt lösenord på andra webbplatser. Båda är hanterbara med ett unikt lösenord, 2FA och sund misstänksamhet mot oväntade meddelanden.

Få inte panik och svara inte på någon som kontaktar dig om intrånget utan att du bett om det. Lita på återförsäljarens officiella kanaler för uppdateringar.

Viktiga slutsatser

  • Granska ditt H2O ID och andra lojalitetskonton i dag och radera dem du inte längre använder.
  • Använd ett unikt lösenord för varje konto och aktivera 2FA.
  • Behandla meddelanden om poäng, avstängningar eller själva intrånget som misstänkta tills de verifierats via officiella kanaler.
  • Håll den här checklistan för dataintrånget mot H2O ID till hands nästa gång en återförsäljare avslöjar en läcka.

För ytterligare steg för att skydda exponerade personuppgifter, läs vår guide för åtgärder vid Pentagons intrång och Reqrea-intrångets historia.