Malware em computador de um terceirizado da Daiichikosho (cerca de 8,72 milhões de registros): nomes, datas de nascimento e telefones de membros do Big Echo e de outros podem ter vazado — o que fazer

De acordo com a empresa, os dados dizem respeito a clientes que se cadastraram como membros ou fizeram reservas em suas lojas. A divisão está abaixo. Todos os números são aproximados, e duplicidades (cerca de 515.000) foram removidas do total.

• Relacionados ao Big Echo: cerca de 5.558.000
• Relacionados ao DK Dining: cerca de 3.462.000
• Relacionados ao Karaoke CLUB DAM: cerca de 74.000
• Relacionados ao Mega Big: cerca de 43.000
• Relacionados ao Banana Club: cerca de 5.000
• Relacionados ao B-GARAGE: cerca de 4.000

Além disso, cerca de 93.000 registros de funcionários estão incluídos. O comunicado não diz se isso abrange apenas funcionários atuais ou também ex-funcionários.

Até 10 de outubro, os comunicados não dizem se as pessoas afetadas serão contatadas individualmente nem como verificar se você está incluído. Se você já se cadastrou ou fez reserva em qualquer uma das marcas acima, considere que está incluído e siga os passos abaixo.

A empresa alerta que, se os dados vazaram, eles podem ser usados em e-mails falsificados e em phishing. Ela pede que as pessoas fiquem atentas a e-mails, mensagens e ligações suspeitas e não abram links ou anexos desconhecidos.

Programas de associação de karaokê e restaurantes costumam enviar cupons, avisos de nível de associação e lembretes de pontos. Por isso, mensagens falsas como “resgate seu cupom”, “atualize sua associação” ou “pontos expirando” são difíceis de distinguir das reais. Não abra o link; verifique se o mesmo aviso aparece no aplicativo oficial ou em um site oficial que você tenha salvo nos favoritos (como identificar golpes: O que é phishing?).

A empresa diz que nunca pedirá senhas nem dados de cartão de crédito. Não responda a mensagens que peçam esses dados em nome de um pedido de desculpas, compensação ou pontos bônus. Se você já os informou, troque a senha desse serviço ou, se informou dados de cartão, ligue para a operadora do seu cartão.

A partir daqui, este é o conselho deste site. Diferentemente de uma senha, sua data de nascimento não pode ser trocada depois. Como ela pode ter vazado, se você usa os 4 ou 6 dígitos da sua data de nascimento como PIN do cartão bancário ou do telefone, ou como parte de uma senha, troque.

Com seu nome e e-mail também possivelmente conhecidos, senhas do tipo “nome + aniversário” ficam fáceis de adivinhar. Ao substituir uma senha, um gerenciador de senhas é a forma prática de criar uma senha longa e sem relação com dados pessoais.

Quando alguém “confirma sua identidade” lendo seu nome e data de nascimento, pode parecer oficial. Nome, data de nascimento e telefone estão entre os itens listados aqui, o que facilita a falsificação dessas ligações. Se alguém ligar, não responda às perguntas na hora; desligue e retorne a ligação para o número indicado no site oficial da empresa.

A linha de atendimento da empresa é 0120-732-079, gratuita (das 10h às 17h, horário do Japão, exceto fins de semana e feriados, disponível para ligações a partir do Japão), e o e-mail incident-desk@dkkaraoke.co.jp (conforme o comunicado de 9 de outubro). A empresa diz que o e-mail pode ser usado caso a linha telefônica esteja ocupada. Confirme o número e o endereço no site oficial da empresa, e não a partir de um e-mail ou mensagem de texto recebidos.

Ao terceirizar tabulação, envio de correspondência ou análise, exportar a base de membros inteira coloca nos computadores do terceirizado colunas e marcas que a tarefa nunca usa. Para cada tarefa, defina quais colunas são realmente necessárias antes de entregar qualquer arquivo.

Por exemplo: faixas etárias em vez de datas de nascimento completas para relatórios por faixa etária, sem e-mail ou telefone em trabalhos que não envolvem contato, números de membro em vez de nomes. Se o trabalho for dividido por marca, divida também os arquivos. Como primeiro passo, escolha um arquivo que você envie regularmente ao terceirizado e revise-o coluna por coluna com ele, perguntando se a tarefa usa cada uma.

Uma vez que os dados são salvos no computador de um funcionário do terceirizado, a proteção contra malware e o status das atualizações desse computador passam a proteger seus clientes, e você não consegue ver nenhum dos dois. Sempre que possível, faça com que os terceirizados trabalhem em um ambiente gerenciado por você (uma área de trabalho virtual que apenas transmite a tela, ou um espaço compartilhado com downloads bloqueados), de modo que nenhum arquivo permaneça nos computadores deles.

Para trabalhos que realmente exigem uma cópia local, exija criptografia, exclusão ao término da tarefa e um prazo para confirmar a exclusão a você.

A Lei de Proteção de Informações Pessoais do Japão exige que a empresa que terceiriza o tratamento de dados pessoais exerça supervisão necessária e adequada sobre o terceirizado (Artigo 25). Para tornar essa supervisão concreta, inclua no contrato ou em um memorando o seguinte:

• Requisitos para dispositivos que tratam dados de clientes: ferramenta que detecte e registre atividade de malware (como EDR), atualizações de sistema operacional e de software, criptografia de disco e proibição de tratamento em dispositivos pessoais
• Onde os dados de clientes podem ser armazenados e o prazo para excluí-los após o trabalho
• O que acontece quando uma infecção ou invasão é identificada: prazo para uma primeira notificação que não aguarde a investigação do alcance (por exemplo, em até 24 horas), definido separadamente do prazo para o relatório de investigação

Verifique uma vez por ano se o terceirizado atende a esses requisitos, por meio de um relatório escrito sobre a gestão de seus dispositivos ou dos resultados de sua autoavaliação.