Incidente de acceso no autorizado al sistema de solicitudes de línea de NIFTY (hasta 542.513 registros): IDs de socio, nombres, direcciones y números de teléfono podrían estar expuestos — Qué deben hacer los clientes de fibra

Según el aviso, el alcance abarca a los clientes que solicitaron una línea desde 2019 (excluido el sitio web de la empresa), para @nifty Hikari, @nifty MAX Hikari y @nifty au Hikari Plus.

Las solicitudes a través del sitio web de la empresa parecen excluidas, pero el aviso no explica en detalle qué vías de solicitud están cubiertas. Tampoco indica si los clientes afectados serán contactados individualmente. Si no está seguro de si le afecta, consulte con el contacto indicado abajo.

Los datos incluyen nombre, dirección, número de teléfono y dirección de correo electrónico. En conjunto, permiten crear correos y mensajes de texto convincentes con su nombre y dirección correctos.

La empresa pide a los clientes que estén atentos a correos electrónicos, llamadas y mensajes de texto sospechosos que se hagan pasar por la empresa o por partes relacionadas, y que no abran las URL que contengan ni introduzcan datos personales. Aunque un mensaje hable de una "disculpa", una "revisión del contrato de línea" o un "reembolso" (ejemplos de este sitio), no abra sus enlaces; verifique a través del sitio web oficial que usted abra desde un marcador o un buscador (cómo reconocerlos: qué es el phishing).

La empresa dice que, en relación con este incidente, nunca contactará individualmente a los clientes por correo electrónico, teléfono o medios similares para pedir NIP, contraseñas, datos de tarjetas de crédito o similares. Considere falso cualquier contacto que pida estos datos, aunque diga ser de la empresa.

Los datos también incluyen el ID de socio, la fecha de nacimiento y la dirección. Quien llama y conoce su ID de socio o fecha de nacimiento no ha demostrado nada. No responda; cuelgue y vuelva a llamar a un número que busque usted mismo. Aplique el mismo criterio a cualquiera que visite su domicilio o a las cartas.

A diferencia de una dirección de correo electrónico o un número de teléfono, una fecha de nacimiento no puede cambiarse. En esta ocasión figuraba entre los datos junto con el nombre y la dirección.

Si usa su fecha de nacimiento (como "0815") como NIP de su banco o tarjeta de crédito, o como bloqueo de pantalla del teléfono, cámbiela ahora. Este es un consejo general de este sitio, no una indicación de la empresa.

Las contraseñas no figuran entre los datos que podrían verse afectados y no se mencionan en el aviso. La empresa no ha pedido a los clientes que cambien sus contraseñas.

Que no se mencionen, sin embargo, no confirma que las contraseñas estuvieran a salvo. Si usa la misma contraseña para @nifty y otros servicios, este es un buen momento para hacerlas diferentes. Un gestor de contraseñas es la forma práctica de llevar el control.

El aviso indica la línea dedicada de @nifty (teléfono 0120-924-719, gratuita dentro de Japón, de 10:00 a 18:00 todos los días). Verifique el número en la página de aviso de la empresa que usted abra, no en un contacto que haya recibido.

Si ya ha dado o introducido datos personales tras un contacto sospechoso, empiece por consultar esta línea. Si pagó dinero o dio datos de cuenta bancaria o de tarjeta, contacte también con su banco o con la compañía de su tarjeta y con la línea de consulta policial (#9110 en Japón).

En general, las pruebas de vulnerabilidad y la supervisión suelen empezar por los sitios web que usan los clientes. Sin embargo, las herramientas internas para gestionar y tramitar solicitudes suelen contener tantos datos personales como los formularios públicos, o más, en un solo lugar.

Incluya en una sola lista todos los sistemas que contengan datos personales de clientes, sean de cara al cliente o internos, y anote para cada uno desde dónde se puede acceder, qué cuentas lo usan y dónde se guardan sus registros de actividad. No divida el alcance de las revisiones entre sistemas públicos e internos; aplique los mismos controles a todo lo incluido en la lista.

Este incidente abarca a solicitantes desde 2019. En general, los registros de solicitudes completadas rara vez se necesitan en la tramitación diaria.

Decida hasta qué fecha pueden consultar las pantallas de tramitación y traslade los registros más antiguos a un almacenamiento separado o reduzca sus datos. Así, si una herramienta de gestión se ve comprometida, la cantidad de personas y datos afectados será menor. Guarde por separado los registros que deba conservar por obligación legal o contractual.

La empresa indicó claramente en su aviso que no pedirá NIP, contraseñas, datos de tarjetas de crédito ni similares por este incidente. Es información que los clientes pueden usar de inmediato para detectar contactos falsos.

Antes de que ocurra un incidente, decida qué nunca pedirá su organización por teléfono o correo electrónico, y qué remitentes utiliza para los avisos importantes, y publíquelo en su sitio web oficial. Así podrá emitir la misma orientación el mismo día. Para la protección contra la suplantación de remitentes, consulte SPF, DKIM y DMARC contra el correo electrónico falsificado.