Napoleon Perdis dataintrång: 339 000 australiska kunduppgifter läckta
En hotaktör under aliaset "2019" har tagit på sig ansvaret för att ha läckt en databas med över 339 000 kundposter från Napoleon Perdis, det australiska lyxkosmetikamärket. Det påstådda intrånget, som ännu inte har bekräftats oberoende av företaget, uppges innehålla namn, e-postadresser, telefonnummer samt hem- och leveransadresser. Om uppgifterna stämmer skulle denna händelse vara ett av de mer betydande dataläckorna inom detaljhandeln som drabbat australiska konsumenter i närtid, och den typ av data som berörs gör det särskilt farligt.
Vilka uppgifter som exponerades och vem som är i riskzonen
Det påstådda datasetet går långt utöver grunduppgifterna. Utöver kontaktinformation innehåller de läckta posterna enligt uppgift data från lojalitetsprogram och uppgifter om totala inköpssummor. Den kombinationen är betydelsefull. Ett fullständigt namn tillsammans med hemadress, telefonnummer och e-post är tillräckligt för att genomföra övertygande identitetsstöldattacker. Lägg därtill köphistorik och lojalitetsnivå, så har angripare en detaljerad profil av varje individs köpbeteende och ekonomiska vanor.
De cirka 339 100 drabbade personerna är i huvudsak australiska konsumenter som har handlat hos Napoleon Perdis, antingen i butik eller online. Eftersom uppgifterna inkluderar leveransadresser kan även kunder som använt en arbets- eller alternativ e-post identifieras och lokaliseras. Alla som någonsin har skapat ett Napoleon Perdis-konto eller registrerat sig i deras lojalitetsprogram bör betrakta sina personuppgifter som potentiellt komprometterade tills företaget ger klarhet.
Varför lojalitets- och inköpsdata höjer hotnivån
De flesta diskussioner om intrång i detaljhandeln fokuserar på betalkortsnummer eller lösenord. Dessa är allvarliga, men lojalitets- och inköpsdata medför en annan typ av risk som ofta undervärderas.
När angripare vet hur mycket en kund har spenderat hos en återförsäljare kan de prioritera sina måltavlor. Högvärdeskunder löper större risk att utsättas för sofistikerade phishing-kampanjer, bedrägliga återbetalningsbedrägerier eller till och med fysiska kontakter. En bedragare som vet att du är premiummedlem i ett lojalitetsprogram kan skapa ett mycket trovärdigt e-postmeddelande som påstår sig erbjuda en exklusiv belöning eller lösa ett faktureringsproblem, komplett med ditt korrekta namn och adress.
Denna profileringsförmåga är vad som skiljer ett högriskintrång från ett rutinintrång. Intrång som involverar denna typ av data har också längre hållbarhet: informationen förfaller inte på samma sätt som ett lösenord eller kreditkortsnummer skulle göra efter en återställning.
Hur angripare utnyttjar läckta adress- och telefonregister
Hemadresser och telefonnummer är de två datapunkter som förflyttar ett intrång från den digitala till den fysiska världen. Angripare kan använda dem för att genomföra SIM-swapping-attacker, där en bedragare övertygar en mobiloperatör att överföra ditt nummer till en enhet de kontrollerar och därmed kringgår SMS-baserad tvåfaktorsautentisering. Telefonnummer möjliggör också vishing, eller röst-phishing, där uppringare utger sig för att vara banker, myndigheter eller återförsäljare för att lura till sig ytterligare personlig eller finansiell information.
ADT-dataintrånget som exponerade 10 miljoner poster via vishing är en tydlig illustration av hur telefonbaserad social manipulering kan skalas upp när angripare har en färdig tillgång på verifierade kontaktuppgifter. Hemadresser tillför ytterligare en dimension och möjliggör postbedrägerier, avlyssning av paket eller riktade angrepp som utnyttjar offrets känsla av förtrogenhet med sin egen bostadsort.
I ett separat men strukturellt liknande fall visade ADT-intrånget som drabbade 5,5 miljoner kunder hur namn, telefonnummer och hemadresser tillsammans utgör en komplett verktygslåda för identitetsbedrägeri. Napoleon Perdis-läckan, om den bekräftas, delar denna profil nästan exakt.
Återförsäljare är attraktiva måltavlor just för att deras databaser kombinerar identitetsdata med beteendedata, och ofta med betydligt lägre säkerhetsinvesteringar än finansiella institutioner. Den påstådda Napoleon Perdis-incidenten passar in i detta mönster.
Åtgärder som australiska konsumenter kan vidta nu för att skydda sig
Om du någonsin har skapat ett konto hos Napoleon Perdis eller deltagit i deras lojalitetsprogram finns det praktiska åtgärder du kan vidta omedelbart.
Kontrollera din e-post efter misstänkta meddelanden. Phishing-försök tenderar att öka kraftigt under veckorna efter ett intrångsmeddelande, och de utger sig ofta för att vara det drabbade varumärket självt. Var skeptisk till all e-post som påstår sig hantera intrånget, erbjuda kompensation eller begära kontoverifiering.
Aktivera tvåfaktorsautentisering på alla finanskonton. Med tanke på att telefonnummer ingår i den påstådda läckan, prioritera autentiseringsappar framför SMS-baserade koder där det är möjligt.
Övervaka din kreditfil. Australiska konsumenter kan begära en kreditupplysning från de stora kreditupplysningsföretagen och, om de är oroade, lägga en tillfällig spärr för nya kreditansökningar. Tjänster som IDCARE, Australiens nationella identitets- och cyberstödstjänst, kan hjälpa personer som tror att deras uppgifter har missbrukats.
Var uppmärksam på fysiskt postbedrägeri. Eftersom leveransadresser ingår i de påstådda uppgifterna, håll utkik efter oväntade paket, omdirigeringsmeddelanden eller förfrågningar om att bekräfta leveransuppgifter.
Se över din dataskugga i stort. Detta intrång är en användbar påminnelse om att granska vilka återförsäljare och tjänster som har dina personuppgifter. Radera konton du inte längre använder och avanmäl dig från lojalitetsprogram som kräver mer data än du är bekväm med att dela där det är möjligt.
Det påstådda dataintrånget hos Napoleon Perdis utreds fortfarande, och företaget har ännu inte utfärdat ett heltäckande offentligt uttalande. Men oavsett om intrånget slutligen bekräftas i den omfattning som påstås, är händelsen en påminnelse om att detaljhandelns lojalitetsdatabaser innehåller mycket mer känslig information än de flesta kunder inser. Att agera proaktivt nu är det mest effektiva sättet att begränsa din exponering om uppgifterna fortsätter att spridas.
