Filtración en las tiendas online de FANCL y Attenir (368.184 y 417.312 socios): nombres, direcciones, teléfonos y fechas de nacimiento expuestos, y qué deben hacer los socios

Los datos afectados son parte de los datos de socios de cada empresa. La FAQ de FANCL indica que a los clientes afectados se les contactó en su correo electrónico registrado el sábado 17 de octubre (consultado el 25 de octubre).

Si no está seguro de haber recibido un aviso, o de si un correo es auténtico, contacte con la línea de ayuda compartida de FANCL/Attenir en el 0120-333-600 (de 9:00 a 17:00, incluidos fines de semana y festivos). Use el número del aviso oficial, no uno escrito en un correo electrónico.

Las empresas advierten de que los datos filtrados podrían usarse para correos suplantados, estafas de phishing y fraudes similares. Los mensajes sobre caducidad de puntos, cambios de nivel de socio, disculpas o compensaciones no les parecerían raros a los socios, lo que dificulta detectar los falsos.

Para comprobar cualquier cosa, use el sitio o la aplicación oficial que abra usted mismo (véase ¿Qué es el phishing?).

Como las direcciones y los teléfonos también se filtraron, los contactos falsos pueden llegar no solo por correo electrónico. Las empresas afirman que no le pedirán contraseñas ni datos de tarjetas de crédito.

Si alguien lo pide por teléfono, cuelgue y llame de nuevo al número del aviso oficial. No use números de teléfono ni códigos QR impresos en las cartas que reciba.

Los elementos filtrados incluyen una dirección de correo electrónico secundaria y su contraseña. Según las empresas, se trata de una contraseña secundaria con hash que algunos socios establecieron, y no puede leerse tal cual. La contraseña principal no se incluyó.

Incluso con hash, las contraseñas cortas o comunes a veces pueden deducirse con suficiente tiempo (véase ¿Qué es el hash de contraseñas?). Si recuerda haber establecido una contraseña secundaria y usa la misma cadena en otros servicios, cámbiela allí. Las empresas también piden a los clientes que cambien sus contraseñas periódicamente.

En cuanto a las preguntas de seguridad, solo se filtraron los elementos de las preguntas; las respuestas no se incluyeron. En general, alguien que sepa qué pregunta eligió podría intentar obtener la respuesta por teléfono o correo electrónico. No responda a esas solicitudes y, si usa la misma pregunta y respuesta en otros servicios, revísela.

Las empresas afirman que identificaron y detuvieron la función que causó la filtración, y que el incidente no ha afectado a sus actividades ni servicios. Si un sitio está diseñado para que una función problemática pueda desconectarse sin cerrar toda la tienda, puede limitar la propagación mientras investiga. En su propia tienda, decida para cada función que devuelve datos de socios cómo se detendría y quién lo haría.

Los elementos filtrados incluyeron una dirección de correo electrónico secundaria y una contraseña secundaria que solo algunos socios establecieron, y elementos de preguntas de seguridad. Los datos de funciones que pocas personas usan siguen expuestos si se almacenan junto a los registros de socios. Compruebe periódicamente si los datos de funciones no usadas pueden eliminarse y si realmente necesitan estar junto a los datos principales de socios.

Las empresas afirman que la contraseña secundaria estaba almacenada con hash. La base es nunca almacenar contraseñas de socios en texto plano ni en una forma reversible, y usar un hash lento con sal, como bcrypt o Argon2. Véase almacenamiento de contraseñas con hash y sal.

Las empresas abrieron la línea de ayuda compartida el día siguiente al anuncio, y según la FAQ de FANCL enviaron correos a los clientes afectados ese mismo día. Cuando llegan avisos auténticos antes de que se difundan los falsos, los socios pueden distinguirlos más fácilmente. Evite avisos que pidan introducir datos personales a través de un enlace, e indique a los destinatarios que comprueben en el sitio oficial, para que la diferencia con los falsos sea clara.