Fuga de datos de Lashinbang: números de documentos de identidad y datos bancarios de pago podrían haberse filtrado (sin imágenes de documentos) — qué deben hacer los vendedores

En una sección añadida a su aviso, la empresa indica que las personas cuyos datos podrían haberse filtrado son quienes recibieron un correo electrónico individual de la empresa. Según sus preguntas frecuentes, también se incluyen algunas personas que usaron el servicio antes del 14–16 de septiembre, y los correos se envían por etapas a medida que se confirman los hechos. Lo afectado varía según los servicios que haya utilizado y la forma en que lo hizo.

Si todavía no ha llegado ningún correo, o quiere saber qué datos suyos están implicados, abra usted mismo la web oficial de la empresa y use el formulario específico de consultas sobre información personal enlazado desde sus avisos (atendido en días laborables, de 10:00 a 18:00 hora de Japón). Las consultas individuales pasan por este formulario porque la empresa debe confirmar que está afectado y verificar su identidad. La empresa indica que puede que no pueda responder a preguntas más allá de lo que dicen su aviso y sus correos.

Acceda al formulario desde la web oficial, no desde un enlace en un correo o mensaje de texto.

La empresa advierte de que pueden llegar correos electrónicos, mensajes de texto, cartas y llamadas telefónicas que se hagan pasar por la empresa u otras partes, y pide a los clientes que no abran los enlaces ni introduzcan o faciliten datos personales.

Sus preguntas frecuentes indican que nunca envía correos que dirijan a los clientes a LINE o PayPay (una aplicación de mensajería y una aplicación de pagos muy usadas en Japón) para registrarse. No haga clic en los enlaces de esos correos; elimínelos (cómo reconocerlos: ¿Qué es el phishing?).

El aviso también dice que la empresa nunca pide contraseñas ni datos de tarjetas de crédito por correo electrónico, mensaje de texto o teléfono. Si alguien se los pide, no responda, aunque use el nombre de la empresa.

El número de cuenta y el nombre del titular son datos que se facilitan para que otros puedan pagarle, y por sí solos no permiten retirar dinero. Las retiradas y transferencias requieren, por ejemplo, su tarjeta de efectivo y su PIN, o su acceso a la banca en línea y sus códigos de autenticación.

Lo que debe vigilar es un contacto de alguien que diga ser su banco, la empresa o la policía, que use sus datos bancarios para parecer legítimo y afirme que su cuenta está siendo utilizada indebidamente, que el pago de su compra debe reenviarse o que hay que tramitar un reembolso. La Asociación de Bancos de Japón afirma que nunca pide a los clientes su PIN ni sus contraseñas, y advierte sobre personas que se hacen pasar por personal de la asociación o de bancos para obtener datos de cuentas y PIN. La Agencia Nacional de Policía advierte sobre quienes llaman haciéndose pasar por policías y dicen que una cuenta debe congelarse y piden la tarjeta de efectivo, y afirma que la policía nunca pide PIN por teléfono. Nunca facilite su PIN, sus datos de acceso ni sus contraseñas de un solo uso (códigos de autenticación de uso único) por teléfono o correo electrónico.

Revise también su libreta o la aplicación bancaria por si hay ingresos, retiradas o cargos que no reconoce, y contacte de inmediato con su banco si encuentra alguno. La Agencia Nacional de Policía también pide a quienes detecten retiradas no autorizadas que contacten tanto con el banco como con la policía.

El aviso de la empresa no pide a los clientes que contacten con su banco. Las guías de la Asociación de Bancos de Japón y de la Agencia Nacional de Policía también recomiendan ponerse en contacto cuando reciba una llamada o visita sospechosa, o cuando detecte pérdidas reales. La asociación indica que, si alguien que dice ser su personal llama o visita, debe avisar a la policía o a su oficina de consultas.

No encontramos ninguna guía oficial que diga que una cuenta debe sustituirse solo porque su número se filtró. Si sigue preocupado, puede llamar a su banco usando el número de su libreta, el reverso de su tarjeta de efectivo o la web oficial del banco. No llame a un número que aparezca en un mensaje que haya recibido.

Los datos en riesgo son el "tipo y número" del documento de identidad. En su adenda del 9 de octubre, la empresa afirma que no se filtraron imágenes de documentos de identidad, incluidos los permisos de conducir, por lo que no están implicadas fotos de su rostro ni de la tarjeta en sí.

El aviso no dice de qué documentos (por ejemplo, un permiso de conducir) proceden los números, y la empresa afirma que no recoge el My Number. Puede preguntar a través del formulario de consultas qué documento presentó, aunque la empresa indica que puede que no pueda responder a preguntas individuales más allá de lo que dicen su aviso y sus correos.

Incluso sin imágenes, la información de un número combinada con su nombre, dirección y fecha de nacimiento podría usarse en solicitudes hechas a su nombre. Como precaución, considere registrar una autodeclaración ante las agencias de crédito de Japón (CIC, JICC y el centro de información crediticia de la Asociación de Bancos de Japón). Las tarifas, los periodos de registro y cómo solicitar su propio informe crediticio se explican en Qué hacer si se filtran los datos de su permiso de conducir.

Si envió dinero o introdujo datos bancarios o de tarjeta en respuesta a un contacto sospechoso, contacte primero con su banco o con la entidad emisora de su tarjeta.

En Japón también puede llamar a la línea de consultas policiales (#9110) o a la línea directa de consumidores (188). Cuanto antes lo denuncie, mayores serán las posibilidades de detener la pérdida. Si un correo falso le llevó a introducir una contraseña, cámbiela de inmediato, junto con la de cualquier otro servicio que use la misma contraseña (Cómo elegir un gestor de contraseñas).

El artículo 16 de la Ley de Comercio de Artículos Usados exige a los comerciantes registrar la fecha de la operación, el artículo y la cantidad, sus rasgos distintivos, la dirección, el nombre, la ocupación y la edad de la otra parte, y el método de verificación empleado. El artículo 18 exige conservar esos registros durante tres años desde la fecha de la última anotación.

Primero, divida los datos que conserva entre "exigidos por la ley" y "conservados por conveniencia comercial". Elimine los registros exigidos por la ley cuando venza su plazo, y fije un límite mucho más corto para lo demás, por ejemplo eliminarlo una vez completado el pago, con borrado automático en lugar de limpieza manual.

La cuenta bancaria para el pago de una compra es necesaria para efectuar el pago. Si la conserva para facilitar la siguiente solicitud, permita que los clientes elijan si se guarda, y considere eliminarla al completar el pago en el caso de quienes no lo acepten.

Los números de documentos de identidad y las imágenes de formularios de consentimiento no necesitan ser consultados a diario por el procesamiento de pedidos ni por las páginas de socios. Manténgalos en un almacén independiente con permisos separados, de modo que una brecha en el sistema de socios o de pedidos no los arrastre también, y aplique autenticación multifactor a los accesos de administración (Cómo elegir la autenticación multifactor).

Para más información sobre la revisión de servicios que guardan documentos de identidad, consulte la sección para operadores del artículo sobre Times Car.