Vazamento no @cosme da istyle (dados de cerca de 3 milhões de membros): o que os membros devem fazer sobre nomes, endereços, telefones e tipo de pele vazados

A empresa diz que envia seus e-mails de notificação do domínio cosme.net. Mesmo que um assunto ou corpo mencione o @cosme ou a istyle, trate uma mensagem de outro domínio remetente como algo diferente. Qualquer pessoa pode definir um nome de exibição, então o que se deve conferir é o domínio, não o nome. Um domínio igual, sozinho, não prova que a mensagem é segura: não use seus links e abra você mesmo o site oficial.

A empresa também pede que você ajuste as configurações de spam para poder receber e-mails de cosme.net. Isso é só para você não perder um aviso genuíno. Não significa que os links do e-mail sejam seguros para abrir.

Em geral, quando nome, endereço, telefone e e-mail estão combinados, fica fácil fabricar uma mensagem falsa que parece escrita para você. Os itens vazados confirmados incluem também o tipo de pele e o tipo de cabelo. É concebível um texto que imite um aviso a membros, como um prêmio adequado ao seu tipo de pele ou um pedido de atualizar seu cadastro (é um exemplo hipotético deste site, não um relato de mensagens que tenham chegado). A empresa diz que, até onde sabe, não foi confirmado uso indevido nem dano secundário.

Como distingui-los está em O que é phishing?. Trate como falsa qualquer mensagem que peça para você digitar uma senha ou um número de cartão. A empresa também diz que seus e-mails de notificação nunca pedem isso.

Como números de telefone estavam entre os itens vazados, a empresa também alerta que podem chegar mensagens de texto e ligações falsificadas. Não informe dados pessoais nem códigos de verificação em uma ligação que diga ser do @cosme. Desligue e entre você mesmo em contato pelo canal de atendimento indicado no site oficial.

A empresa diz que, até agora, senhas de login não estavam incluídas. O comunicado não pede aos membros que troquem a senha. Este site sugere trocá-la se você usa a mesma para o @cosme e para outros serviços, por precaução. Seu e-mail está entre os itens vazados, e uma senha reutilizada pode se tornar a porta de entrada para outros serviços (para verificar, veja Como verificar se sua senha vazou; para reforçar suas contas, Primeiros passos com a autenticação multifator).

Segundo o comunicado, quem já saiu do @cosme é afetado se era membro no momento do acesso. A empresa diz que entrará em contato usando as informações que guarda por um prazo determinado após o cancelamento. Os avisos individuais devem terminar na sexta-feira, 6 de novembro, então algumas pessoas ainda não receberam um. Dúvidas vão para a central de atendimento sobre o acesso não autorizado que a empresa anunciou (dias úteis das 10h às 18h JST, fechada em fins de semana e feriados). Confira a página do comunicado da empresa para ver o endereço de e-mail.

Segundo o comunicado, quem saiu também é afetado, e a empresa diz que entra em contato usando as informações que guarda por um prazo determinado após o cancelamento. Como conselho deste site, liste quais itens o seu serviço guarda e por quantos meses após o cancelamento, e reveja se algum que não seja necessário para a finalidade pode ser excluído em um prazo definido.

A empresa diz que a notificação leva tempo porque são muitas as pessoas afetadas, e anunciou o domínio remetente de seus e-mails junto com um pedido para conferir as configurações de spam. Se é você quem envia avisos, publique o domínio remetente e desenhe a mensagem de modo que ninguém precise confirmar nada por um link do e-mail; isso dificulta que um aviso falso se misture. A autenticação de remetente é tratada em nosso artigo sobre SPF, DKIM e DMARC.