La filtración de Trustbank en Furusato Choice (4.454.097 registros de socios): nombres, direcciones y contraseñas con hash expuestos — qué deben hacer los donantes

Los datos filtrados incluyen contraseñas con hash. El hash transforma una contraseña para que no se almacene tal cual. Sin embargo, las contraseñas cortas o fáciles de adivinar pueden, en general, recuperarse con tiempo suficiente (véase ¿Qué es el cifrado de contraseñas?).

La empresa pide que quienes usen en otros servicios la misma combinación de correo electrónico y contraseña que en Furusato Choice cambien la contraseña en esos servicios. Empiece por los servicios relacionados con dinero o datos personales, como compras en línea, programas de puntos y correo electrónico, y active la verificación en dos pasos siempre que pueda (¿Cuál es el método 2FA más seguro?).

Con nombre, dirección, número de teléfono y correo electrónico juntos, alguien puede escribir un mensaje falso convincente que lo salude por su nombre. Los donantes no se sorprenderían al oír hablar de envíos de regalos de agradecimiento o de papeleo de donaciones, lo que hace más difíciles de detectar los mensajes falsos sobre esos temas.

La empresa pide estar atentos a correos electrónicos, mensajes de texto, llamadas telefónicas y cartas sospechosos que se hagan pasar por ella o por partes relacionadas, y no abrir URL o archivos adjuntos desconocidos. Para comprobar cualquier cosa, use el sitio oficial o la página oficial del ayuntamiento que abra usted mismo (véase ¿Qué es el phishing?).

La empresa pide no introducir datos personales ni contraseñas en sitios web sospechosos. Nada en los avisos dice que se vaya a pedir a los usuarios números de tarjeta, datos bancarios o contraseñas por causa de este incidente.

Si una llamada o una carta pide esos datos en nombre de una disculpa, un reembolso o un reenvío del regalo de agradecimiento, no responda; cuelgue y compruebe a través del contacto oficial.

La empresa dice que, desde el 21 de octubre, envía correos electrónicos individuales, por orden, para informar de si sus datos personales se filtraron y qué datos se confirmaron.

Los avisos auténticos y los falsos que los imitan pueden llegar al mismo tiempo. Si recibe uno, no inicie sesión ni actúe a través de sus enlaces; compárelo con los avisos de la sala de prensa de Trustbank. El contacto indicado en los avisos es una dirección de correo electrónico (toiawase@trustbank.co.jp).

A 25 de octubre, los avisos de la empresa no dicen nada sobre efectos en las solicitudes de la excepción de trámite único, en las declaraciones de la renta ni en los certificados de donación. Los servicios están suspendidos desde el 19 de octubre, y no se aceptan donaciones a través de Furusato Choice (según ayuntamientos como el de Izumiotsu). Consulte las páginas oficiales de la empresa y de su ayuntamiento de destino para obtener orientación.

Según la empresa, los datos de tarjeta guardados se obtenían del procesador de pagos cada vez que se mostraba la pantalla Mi Página y no se almacenaban en sus sistemas. Solo se mostraban los últimos cuatro dígitos, el nombre del titular y la fecha de vencimiento. En un sitio con socios que gestione tarjetas, una configuración en la que no se guardan los números de tarjeta (usando el almacenamiento del procesador de pagos) limita el daño si no se puede detener una intrusión.

Las contraseñas filtradas estaban protegidas con hash. No se ha publicado la solidez del hash (si usaba sal, si era un algoritmo lento). En general, un algoritmo lento con sal (bcrypt, scrypt, Argon2 y similares) aumenta mucho el tiempo necesario para recuperar las contraseñas originales (Cómo almacenar contraseñas de forma segura). En su primer informe, la empresa pidió a los usuarios que cambiaran las contraseñas que habían reutilizado en otros servicios.

La empresa notó patrones de acceso inusuales, los comprobó y cerró el servicio el 19 de octubre, dos días después del acceso no autorizado. Hacer un seguimiento del volumen y la frecuencia diarios de acceso a los registros de socios, con una alerta cuando el volumen se aparte de lo normal, y decidir de antemano quién toma la decisión de cerrar el servicio, acorta el tiempo entre la detección y la contención.

Los datos filtrados incluyeron el importe estimado de la deducción fiscal. En general, decidir si necesita conservar los resultados calculados y los historiales guardados para comodidad de los usuarios, y no conservar los que no necesita, reduce lo que puede filtrarse (no se ha publicado cómo almacenaba la empresa este dato).