Brecha del sitio de encuestas Qzoo (unos 400.000 registros): pueden haberse filtrado datos de socios, incluidos datos de cuentas bancarias, y qué deben hacer los socios

La empresa pide a los socios que usen en otros servicios la misma combinación de dirección de correo y contraseña que en Qzoo que cambien con prontitud la contraseña de esos servicios. No ha dicho cómo se almacenaban las contraseñas.

Cuando se conoce un par de correo y contraseña, puede probarse en otros sitios. Empiece por el correo electrónico, la banca en línea, las compras en línea y los servicios de puntos, y use una contraseña distinta para cada servicio. Un gestor de contraseñas es la forma realista de hacer el inventario. Active también la verificación en dos pasos en su cuenta de correo.

En cuanto a la propia contraseña de Qzoo, la empresa afirma que pedirá a todos los panelistas que la restablezcan cuando se reanude el servicio.

La empresa advierte sobre correos, mensajes de texto y mensajes similares que se hagan pasar por Qzoo o por la empresa, y afirma que nunca contactará con los socios para pedirles que introduzcan una contraseña u otros datos. Pide a los socios que no abran URL ni archivos adjuntos de correos sospechosos.

La empresa afirma que contactará individualmente con los afectados de forma progresiva, así que pueden llegar a la vez mensajes auténticos y falsos. Si recibe un mensaje sobre «confirmar su cuenta para el pago de recompensas», «restablecer su contraseña» o «una disculpa», no use el enlace que contiene; consulte en su lugar los avisos del sitio web oficial de la empresa (véase ¿Qué es el phishing?).

Este paso y el siguiente son consejos de este sitio, motivados por que los números de cuenta, los nombres de sucursal y los nombres de los titulares están dentro del alcance. No son peticiones del aviso de la empresa.

El número de cuenta y el nombre del titular son datos que usted facilita para que le paguen; por sí solos no sirven para retirar dinero. Las retiradas y transferencias requieren cosas como su tarjeta de débito y su PIN, o los datos de acceso y los códigos de autenticación de su banca en línea. Lo que hay que vigilar es un contacto de alguien que dice ser su banco, la empresa o la policía, que usa los datos de su cuenta para parecer auténtico y que dice que su cuenta se está usando de forma indebida o que necesita confirmar su cuenta de cobro.

Como orientación general, la Asociación de Banqueros de Japón afirma que nunca pide a los clientes su PIN ni sus contraseñas, y la Agencia Nacional de Policía de Japón afirma que los agentes de policía nunca piden el PIN por teléfono ni por medios similares. Nunca dé su PIN, sus datos de acceso ni sus contraseñas de un solo uso (códigos de autenticación de un solo uso) por teléfono, correo electrónico o mensaje de texto.

Revise la libreta o la aplicación bancaria de la cuenta que registró en Qzoo en busca de ingresos, retiradas o cargos que no reconozca. Si encuentra alguno, contacte de inmediato con su banco usando el número que figura en su libreta, en el reverso de su tarjeta de débito o en el sitio web oficial del banco. No llame a un número indicado en un mensaje que haya recibido. La Agencia Nacional de Policía también pide a quienes detecten retiradas no autorizadas realizadas a través de servicios de pago sin efectivo que contacten tanto con el banco u otro proveedor como con la policía.

El aviso de la empresa no pide a los socios que contacten con su banco. No hemos encontrado ninguna orientación oficial que diga que haya que cambiar de cuenta solo porque su número pueda haberse filtrado.

La empresa advierte sobre el correo postal y los contactos sospechosos enviados al domicilio de los socios. Como las direcciones y las fechas de nacimiento están dentro del alcance, pueden llegar contactos falsos convincentes no solo por correo electrónico, sino también por postal, carta o teléfono.

Que un remitente indique correctamente su nombre, dirección, fecha de nacimiento o cuenta bancaria registrada no demuestra que sea auténtico. Son precisamente los datos que pueden haberse filtrado. Para consultas, use el contacto indicado en el aviso (consultas de clientes de Qzoo: qzoo_support@monitas.co.jp) o datos de contacto que haya comprobado en el sitio web oficial de la empresa.

En general, los datos sensibles como los bancarios se guardan en una base de datos distinta de los perfiles de socios y de las respuestas a encuestas (o en un área cifrada separada), legible solo por el proceso de pagos. Si la cuenta que ejecuta las páginas del sitio web también puede leer los datos bancarios, un único punto de entrada defectuoso lo expone todo.

La inyección SQL es el nombre general de las vulnerabilidades en las que la entrada se trata como parte de la propia sentencia SQL (véase ¿Qué es la inyección SQL?). En general, estandarice el uso de marcadores de posición (consultas parametrizadas) e incluya en el inventario las páginas antiguas y las funciones de administración.

Según el aviso de la empresa, pasaron unas 10 horas entre el inicio del acceso no autorizado (8:30) y su detección (18:44). En general, registrar el número de filas leídas por petición, los picos de errores y las escrituras en tablas que normalmente no cambian, y alertar al personal cuando se superen umbrales, es un primer paso práctico para acortar el tiempo hasta darse cuenta.