Acceso no autorizado a Nojima Online y a su sitio de recompra de móviles usados (unos 7 millones de registros): nombres, direcciones, teléfonos y contraseñas cifradas, y qué deben hacer los miembros

Los elementos filtrados incluyen juntos nombre, fecha de nacimiento, sexo, dirección, número de teléfono y dirección de correo. Con eso, un mensaje puede acertar su nombre y su dirección. La empresa también advierte de que los datos podrían usarse en correos de suplantación y phishing, y pide que no abra enlaces ni archivos adjuntos que no reconozca.

Si recibe un mensaje sobre un «cupón de disculpa», la «reconfirmación de sus datos de miembro» o «puntos a punto de caducar», no abra el enlace. Abra usted mismo el navegador y compruébelo en el sitio oficial. Los mensajes de texto falsos (smishing) funcionan igual (¿qué es el phishing?).

El aviso dice que las contraseñas filtradas estaban cifradas. No pide a los miembros que cambien la contraseña. En el aviso del 2 de noviembre los dos sitios estaban suspendidos temporalmente (no encontramos ningún aviso de reapertura a 4 de noviembre), y no se ha revelado el método de cifrado.

Por eso sugerimos esto: si usa la misma contraseña de su cuenta de Nojima Online o del sitio de recompra, o una leve variación, en el correo, en otras tiendas o en redes sociales, cámbiela en esos otros servicios. Su ID de inicio de sesión y su correo también se filtraron, así que la reutilización podría dar a alguien un punto de partida para probar otros servicios. Es la opinión de este sitio, no una indicación de la empresa. Un gestor de contraseñas es la forma realista de ordenarlo, y cómo comprobar si su contraseña se filtró muestra si una contraseña reutilizada aparece en filtraciones anteriores. Active la verificación en dos pasos donde pueda.

Si la empresa orienta a los miembros a fijar una contraseña nueva cuando los sitios reabran, siga esa orientación.

La empresa dice que no conserva información de tarjetas de crédito en los dos sitios. Por eso, desconfíe de cualquier mensaje que le pida introducir un número de tarjeta o «volver a registrar su tarjeta». Que quien llama acierte su nombre y su fecha de nacimiento no prueba nada, porque son justamente los datos que se filtraron.

Si le piden una contraseña o un número de tarjeta, no los dé. Es consejo de este sitio.

Puede crear una dirección de correo nueva, pero su número de teléfono y su dirección son difíciles de cambiar. En general, las llamadas y mensajes fraudulentos pueden llegar a un número filtrado con nombres distintos de Nojima (opinión de este sitio). Activar los filtros de llamadas y mensajes spam del teléfono reduce cuántos llegan (conceptos básicos de seguridad del smartphone).

La empresa da el Centro de Atención al Cliente de Nojima (0120-574-853, de 9:30 a 19:00 JST, un número gratuito japonés) como contacto para este incidente. Tome el número de este aviso en el sitio oficial de Nojima, no de un mensaje que le hayan enviado.

El aviso habla de contraseñas cifradas. En general, las contraseñas se guardan no con cifrado reversible sino con un hash unidireccional (un método deliberadamente lento combinado con un valor aleatorio por usuario). Compruebe cómo las guarda su sitio y cuándo se revisó por última vez el ajuste de robustez (cómo almacenar contraseñas). No se ha revelado cuál de los dos se aplicaba aquí.

El aviso dice que la empresa gestiona los pagos sin conservar los datos, por lo que los dos sitios no contienen información de tarjetas de crédito. No conservar datos reduce el daño de una filtración. Aplique el mismo criterio a la fecha de nacimiento y al sexo: ¿por qué se guardan, y podrían dejarse sin recopilar o eliminarse los campos que no se usan? El aviso también dice que no se incluye a los miembros que se dieron de baja, y el mismo inventario abarca qué ocurre con los datos tras la baja.

Según el aviso, el acceso se detectó y confirmó el domingo 1 de noviembre y se anunció el lunes 2 de noviembre. El aviso enumera como respuestas tras el descubrimiento el corte del acceso externo, la consulta a la policía, la suspensión de los sitios y los avisos en el sitio web y las redes sociales, pero no da las fechas en que se llevaron a cabo. Decida hoy quién decidiría, quién retiraría el sitio y quién publicaría si ocurriera en un fin de semana en su organización.