Filtración de datos de H2O ID (unos 1,26 millones de registros) a través del sitio de reservas de los grandes almacenes Hankyu y Hanshin: direcciones, números de teléfono y fechas de nacimiento filtrados — qué deben hacer los miembros

Los datos filtrados incluyen nombre (en kanji y katakana), dirección, código postal, números de teléfono móvil y fijo, dirección de correo electrónico, fecha de nacimiento y edad. Sumando «los servicios utilizados con el H2O ID», un estafador puede enviar un mensaje con su nombre y dirección correctos que también mencione un servicio que usted realmente utiliza.

Las empresas advierten de que pueden llegar correos, mensajes y llamadas sospechosos que se hagan pasar por ellas a las direcciones de correo y números de teléfono registrados en H2O ID, y piden a los clientes que estén atentos a mensajes inesperados y URL sospechosas. Si el mensaje ofrece, por ejemplo, «puntos por disculpas», una «comprobación de reserva» o un «reembolso de pedido» (ejemplos de este sitio), no abra el enlace; abra usted mismo el sitio oficial para comprobarlo (véase ¿Qué es el phishing?).

Las empresas dicen que están enviando correos a los miembros de H2O ID por turnos. Sus avisos proceden de noreply@h2o-retailing.co.jp, y piden a los clientes que tengan cuidado con los mensajes de cualquier otro remitente.

Sin embargo, los nombres de remitente pueden falsificarse. Incluso si un mensaje parece venir de esa dirección, adopte una regla: no inicie sesión ni introduzca datos a través de un enlace del correo. Para comprobar lo que dice un aviso, utilice el sitio oficial que abra usted mismo o los contactos indicados más abajo.

Según las empresas, las direcciones y los números de teléfono se filtraron juntos. Los contactos falsos pueden llegar no solo por correo electrónico o mensaje, sino también por teléfono o por correo postal.

Una persona que le indique correctamente su nombre, dirección y fecha de nacimiento no queda acreditada como auténtica solo por eso. Si le piden por teléfono un PIN, una contraseña, un número de tarjeta o un código de verificación, cuelgue y llame de nuevo a un número oficial que usted mismo haya buscado.

A diferencia de una dirección de correo o un número de teléfono, la fecha de nacimiento no puede cambiarse, y en esta ocasión se filtró junto con nombres y direcciones.

Si el PIN de su banco o tarjeta, el bloqueo de pantalla del teléfono o cualquier contraseña se basa en su fecha de nacimiento (por ejemplo, «0815» o «19900815»), cámbielo ahora. Este es un consejo general de este sitio, no de las empresas.

El comunicado indica que no se ha confirmado la filtración de contraseñas de acceso, y no pide a los miembros que cambien sus contraseñas. Esta redacción refleja una investigación todavía en curso.

En general, cuando una contraseña se filtra de un servicio, los atacantes prueban la misma combinación de correo y contraseña en otros servicios. Si usa la contraseña de su H2O ID en otro lugar, sepárelas ahora. Un gestor de contraseñas es la forma práctica de hacerlo. Para comprobar si una contraseña reutilizada aparece en filtraciones anteriores, consulte cómo comprobar si su contraseña fue filtrada.

Las empresas indican los números gratuitos 0120-110-256 o 0120-369-089 (todos los días, de 10:00 a 20:00 hora de Japón; los números gratuitos solo funcionan desde Japón) y un formulario de contacto (https://h2o-id.h2o-retailing.co.jp/web/contact ) para consultas sobre este incidente. El comunicado de Hankyu Hanshin Department Stores llama a la línea telefónica su centro de llamadas especial. Use los contactos del comunicado publicado en el sitio oficial, no los que aparezcan en un mensaje recibido.

Según el comunicado, hubo un acceso no autorizado al sistema de gestión de clientes a través del sitio de reservas, y se filtró parte de los datos de casi todos los miembros de H2O ID gestionados en ese sistema. En general, con un ID de miembro compartido, el punto de entrada de un servicio puede alcanzar los datos de miembros que nunca usaron ese servicio.

En su propia configuración, elabore una tabla con los campos de gestión de clientes que cada servicio puede leer y escribir, y cuántos registros a la vez. Si un sitio de reservas solo necesita los datos de la persona que hace la reserva, ese es un punto de partida para no permitirle leer las direcciones o fechas de nacimiento de otros miembros.

Según las empresas, los datos de pago no se retienen, y no se conservan los números completos de tarjeta ni los códigos de seguridad. Es un ejemplo de un principio general: lo que no está en el sistema no puede filtrarse (sobre cómo los datos de tarjeta pueden robarse aun así mediante una página de pago manipulada, véase el caso de PhotoGoods).

Este comunicado también indica la dirección del remitente de los correos de aviso, lo que ayuda a los miembros a reconocer el auténtico. Antes de que ocurra nada, decida el remitente que usará para los avisos importantes a sus miembros, publíquelo y configure la autenticación del remitente (cómo evitar la suplantación de correo con SPF, DKIM y DMARC).