19 жовтня H2O Retailing та Hankyu Hanshin Department Store оголосили, що частину записів, пов'язаних із приблизно 1,26 млн учасників H2O ID, було викрадено. Згідно зі звітом від ASCII.jp English Edition, інцидент зачіпає майже всіх учасників спільної системи лояльності. Якщо ви маєте H2O ID, цей контрольний список щодо витоку даних H2O ID охоплює те, що робити зараз, навіть попри те, що деякі деталі залишаються нез'ясованими.

Що витекло внаслідок порушення H2O ID

H2O ID — це спільний логін, який використовується в сервісах групи універмагів Hankyu Hanshin. Компанія заявляє, що частину з приблизно 1,26 млн записів учасників було викрадено, і в заголовку зазначається, що вплив сягає майже всіх учасників.

Уривок звіту, доступний нам, не уточнює, які саме поля даних було розкрито, як стався витік або хто отримав записи. Ми не будемо здогадуватися. Учасникам слід стежити за офіційними повідомленнями від рітейлера, які мають точно вказати, які поля були задіяні. До того часу розумно припускати, що будь-які особисті дані, які ви надали програмі лояльності, як-от ваше ім'я чи контактна інформація, можуть бути скомпрометовані.

Масштаб — це ключовий момент. Коли один спільний ID з'єднує багато магазинів і сервісів, один інцидент може торкнутися майже всієї клієнтської бази одночасно.

Ризики фішингу для учасників карток лояльності

Найпоширеніша подальша проблема після витоку даних роздрібної мережі — це не драматичний злам вашого банківського рахунку. Це фішинг. Злочинці використовують викрадені списки учасників, щоб надсилати повідомлення, які виглядають так, ніби вони надходять від рітейлера, часто згадуючи бали, винагороди або перевірку облікового запису.

Стежте за цими схемами:

  • Електронні листи або текстові повідомлення, які стверджують, що ваш H2O ID призупинено, і просять вас увійти через посилання.
  • Повідомлення про бали лояльності, що спливають, або розіграші призів.
  • Дзвінки або повідомлення, які посилаються на сам витік і пропонують "допомогти" вам захистити ваш обліковий запис.
  • Запити паролів, одноразових кодів або даних платіжної картки через повідомлення чи телефоном.

Справжня компанія не буде запитувати ваш пароль або код підтвердження. Якщо повідомлення вас турбує, не використовуйте посилання в ньому. Відкрийте офіційний застосунок рітейлера або введіть адресу в браузері самостійно.

Існує також проблема повторного використання облікових даних. Якщо ви використовували свій пароль від H2O ID будь-де ще, зловмисники можуть спробувати ту саму комбінацію на інших сервісах. Це працює лише тоді, коли люди повторно використовують паролі, тому наступний крок має значення.

Ваш контрольний список щодо витоку даних H2O ID: як захистити свої облікові записи

Виконайте ці кроки по порядку. Більшість займає лише кілька хвилин.

  1. Змініть свій пароль від H2O ID. Виберіть довгий, унікальний пароль, який ви ніколи не використовували деінде. Менеджер паролів робить це практичним.
  2. Змініть повторно використані паролі. Знайдіть будь-який інший обліковий запис, який використовує старий пароль, починаючи з електронної пошти, банківських та торгових облікових записів, і оновіть кожен із них.
  3. Увімкніть двофакторну автентифікацію (2FA) всюди, де вона пропонується, особливо на вашому обліковому записі електронної пошти, оскільки він може скинути решту ваших логінів. Застосунок-автентифікатор зазвичай надійніший за SMS-коди.
  4. Перегляньте дані свого облікового запису. Перевірте, яка особиста інформація та збережені платіжні методи прикріплені до вашого H2O ID, і видаліть усе, що вам не потрібно.
  5. Перевірте нещодавню активність. Подивіться на баланси балів, замовлення та будь-які збережені картки на предмет активності, яку ви не впізнаєте.
  6. Додайте в закладки офіційний сайт і застосунок. Використовуйте їх замість посилань у повідомленнях.
  7. Стежте за своїми виписками. Слідкуйте за виписками по картках і банківських рахунках на предмет незнайомих списань у найближчі тижні.

Якщо ви вже натиснули на підозріле посилання або ввели пароль на сумнівній сторінці, негайно змініть цей пароль і зв'яжіться з емітентом вашої картки, якщо ви поділилися платіжними даними.

Для ширшої системи дій щодо обробки розкритих особистих даних наш посібник із кроків реагування на витік даних Пентагону описує подібний процес для людей, чия інформація була викрадена.

Чому програми лояльності збирають більше, ніж їм потрібно

Програми лояльності часто запитують більше, ніж потрібно для знижки: повні імена, адреси, номери телефонів, дати народження та історію покупок. Ці дані допомагають у маркетингу, але вони також створюють великий пул інформації, який стає ціллю та відповідальністю в разі витоку.

Спільний ID робить це ще більш вираженим. Один логін, який працює в багатьох магазинах і сервісах, — це зручно, але він концентрує ризик. Одна слабкість може розкрити велику й різноманітну групу клієнтів.

Японія нещодавно пережила інші інциденти, пов'язані з великими обсягами особистих даних. Наш звіт про порушення при реєстрації в готелі Reqrea охоплює інший випадок — неправильно налаштоване сховище, яке розкрило посвідчення особи, — але він демонструє той самий принцип: чим менше даних зберігає організація, тим менше може бути розкрито.

Як клієнт, ви можете зменшити свою схильність до ризику, надаючи лише ту інформацію, яку вимагає програма, пропускаючи необов'язкові поля та видаляючи облікові записи, якими ви більше не користуєтеся.

Що це означає для вас

Якщо ви маєте H2O ID, вважайте себе потенційно постраждалим і дійте зараз, а не чекайте підтвердження того, що саме витекло. Практичні ризики — це фішингові повідомлення, які використовують ваше членство як приманку, та зловмисники, які перевіряють повторно використаний пароль на інших сайтах. Обидва можна контролювати за допомогою унікального пароля, 2FA та здорової підозрілості до несподіваних повідомлень.

Не панікуйте і не відповідайте нікому, хто звертається до вас щодо витоку без попередження. Покладайтеся на офіційні канали рітейлера для отримання оновлень.

Ключові висновки

  • Перегляньте свій H2O ID та будь-які інші облікові записи лояльності сьогодні та видаліть ті, якими ви більше не користуєтеся.
  • Використовуйте унікальний пароль для кожного облікового запису та ввімкніть 2FA.
  • Ставтеся до повідомлень про бали, призупинення або сам витік як до підозрілих, доки їх не буде перевірено через офіційні канали.
  • Тримайте цей контрольний список щодо витоку даних H2O ID під рукою на випадок наступного розкриття витоку рітейлером.

Для подальших кроків щодо захисту розкритих особистих даних прочитайте наш посібник із реагування на витік Пентагону та історію витоку Reqrea.