Recruit: fuga o acceso no autorizado en Carsensor.net y C-MATCH (hasta 3.709.551 registros): nombres y direcciones de personas que contactaron a concesionarios podrían estar expuestos — qué deben hacer usuarios y concesionarios

La empresa advierte de que pueden llegar contactos sospechosos que hagan mal uso de los datos, y pide no abrir correos electrónicos, mensajes de texto o cartas, ni responder llamadas, no abrir los enlaces que contengan y no abrir archivos adjuntos.

La mayoría de los registros contienen solo nombre y dirección, por lo que las cartas correctamente dirigidas merecen más precaución que los correos o las llamadas telefónicas. Las bases para detectar un fraude se explican en qué es el phishing.

La empresa afirma que contactará individualmente a las personas afectadas de forma progresiva. Eso significa que los contactos genuinos y los falsos llegarán más o menos al mismo tiempo.

Aunque una carta o un correo ofrezca una «compensación por el incidente», un «reembolso» o una «recompensa por una encuesta» (ejemplos de este sitio), no utilice los números de teléfono, las URL ni los códigos QR que contenga. Abra usted mismo la página de avisos de Recruit mediante un buscador y siga el contacto que aparezca allí.

El contenido de las consultas figura en 33.247 y 799 registros. En general, un contacto que mencione el modelo o el concesionario por el que preguntó resulta convincente.

Aunque un contacto afirme ser del concesionario, que conozcan su consulta no demuestra nada. No responda en el momento; busque usted mismo el número del concesionario y llame de vuelta.

La empresa afirma que no se incluyen contraseñas de acceso y que no ha pedido a nadie que las cambie.

Por otra parte, si usa la misma contraseña en varios servicios, este es un buen momento para hacerlas distintas. Es un consejo general de este sitio, no una indicación de la empresa. Un gestor de contraseñas ayuda a llevar el control.

Envíe sus preguntas al servicio de atención indicado en la página de avisos (consulta por correo electrónico a través de la página de ayuda de Recruit).

Si pagó dinero o facilitó datos de tarjeta tras un contacto sospechoso, contacte también con su entidad emisora de la tarjeta o con su banco, y con la línea de consulta policial (#9110 en Japón).

Entre los datos de los concesionarios figuran los nombres y teléfonos de representantes y personal, y los IDs de acceso. La empresa afirma que no se incluyen contraseñas de acceso.

En general, un ID de acceso junto con el nombre de un empleado permite crear contactos falsos que pidan una contraseña haciéndose pasar por el operador del servicio. Si recibe un contacto sobre «volver a iniciar sesión tras la reanudación del servicio» o «comprobar su cuenta» (ejemplos de este sitio), no introduzca nada a través de sus enlaces; abra el servicio desde un marcador o desde la información oficial.

En el caso de los autónomos, también figura la información de cuentas bancarias para domiciliaciones. La Asociación de Banqueros de Japón advierte sobre personas que se hacen pasar por personal bancario para obtener datos de cuentas o PIN (una advertencia general, no relacionada específicamente con este incidente).

Si recibe un contacto que diga «un cargo ha fallado» o «su cuenta necesita revisión», no utilice los números ni las URL que contenga; consulte usted mismo con su banco o con el contacto oficial de la empresa. Si ve un cargo que no reconoce, póngase en contacto con su banco de inmediato. Cómo pensar sobre unos datos bancarios filtrados también se explica en el artículo sobre Lashinbang.

Los nombres y teléfonos del personal figuran entre los datos. En general, una llamada o un correo que mencione a un miembro del personal tiende a tomarse como auténtico dentro de una empresa.

Acuerden dentro de la empresa que, si un contacto que dice ser de C-MATCH o de Carsensor pide cambiar datos de pago o información de acceso, el personal no actuará de inmediato y lo comprobará por otra vía.

La empresa dijo que las direcciones de personas que contactaron a concesionarios son en principio solo hasta el nivel de ciudad, pero indicó hasta 447.670 registros que podrían incluir una dirección a nivel de calle.

En general, aunque un formulario esté diseñado para recoger solo la ciudad, los campos de texto libre y los formatos de datos antiguos pueden contener más detalle del previsto. Contrastar los elementos almacenados con los datos reales, y no con los documentos de diseño, permite explicar con rapidez y precisión qué está incluido si se produce una filtración.

Los datos de usuarios, socios, empleados y contratistas tienen cada uno una finalidad y una necesidad de conservación distintas. En general, los sistemas relacionados construidos en torno a un servicio tienden a recoger un poco de cada grupo.

Para cada sistema, liste de qué grupos guarda datos, qué datos y durante cuánto tiempo, y decida si las consultas ya trasladadas pueden eliminarse de las pantallas de uso diario. Si los grupos y los datos se mantienen separados, es más fácil responder a «¿me afecta?» el día de un incidente.

La mayoría de las personas incluidas aquí tienen registrados solo un nombre y una dirección, no un correo electrónico ni un teléfono. En general, las formas de contactar individualmente con ellas son limitadas, y los contactos genuinos y falsos llegan más o menos a la vez.

Antes de que ocurra un incidente, decida qué canales y remitentes usará para los avisos importantes y qué no pedirá nunca, y publíquelo en su sitio web oficial. Eso ayuda a distinguir lo real de lo falso. Para protección contra la suplantación de remitente en correo electrónico, consulte SPF, DKIM y DMARC contra el correo suplantado.