Vazamento nas lojas online FANCL e Attenir (368.184 e 417.312 membros): nomes, endereços, telefones e datas de nascimento expostos, e o que os membros devem fazer

Os dados afetados são parte dos dados de membros de cada empresa. A FAQ da FANCL informa que os clientes afetados foram contatados no e-mail cadastrado no sábado, 17 de outubro (verificado em 25 de outubro).

Se você não tem certeza se recebeu um aviso, ou se um e-mail é verdadeiro, entre em contato com a central de atendimento compartilhada FANCL/Attenir no 0120-333-600 (das 9h às 17h, incluindo fins de semana e feriados). Use o número do aviso oficial, não um número escrito em e-mail.

As empresas alertam que os dados vazados podem ser usados em e-mails falsificados, golpes de phishing e fraudes semelhantes. Mensagens sobre pontos prestes a expirar, mudanças de nível de associação, pedidos de desculpas ou compensações não pareceriam incomuns para os membros, o que dificulta identificar as falsas.

Para verificar qualquer coisa, use o site ou aplicativo oficial que você mesmo abre (veja O que é phishing?).

Como endereços e telefones também vazaram, contatos falsos podem não chegar apenas por e-mail. As empresas afirmam que não pedirão senhas nem dados de cartão de crédito.

Se alguém pedir por telefone, desligue e ligue de volta para o número do aviso oficial. Não use números de telefone ou QR codes impressos em cartas que você receber.

Os itens vazados incluem um e-mail secundário e sua senha. Segundo as empresas, trata-se de uma senha secundária com hash, definida por alguns membros, que não pode ser lida diretamente. A senha principal não foi incluída.

Mesmo com hash, senhas curtas ou comuns podem, às vezes, ser descobertas com tempo suficiente (veja O que é hash de senha?). Se você se lembra de ter definido uma senha secundária e usa a mesma em outros serviços, troque-a lá. As empresas também pedem que os clientes alterem suas senhas regularmente.

Para as perguntas de segurança, apenas os itens de pergunta vazaram; as respostas não foram incluídas. Em geral, quem sabe qual pergunta você escolheu pode tentar obter a resposta por telefone ou e-mail. Não responda a esses pedidos e, se você usa a mesma pergunta e resposta em outros serviços, revise-os.

As empresas afirmam que identificaram e interromperam a função que causou o vazamento, e que o incidente não afetou suas atividades ou serviços. Se um site é construído de modo que uma função com problema possa ser desligada sem fechar a loja inteira, é possível limitar a propagação durante a investigação. Na sua loja, defina, para cada função que devolve dados de membros, como ela seria interrompida e quem faria isso.

Os itens vazados incluíram um e-mail secundário e uma senha secundária, definidos apenas por alguns membros, e itens de perguntas de segurança. Dados de funções que poucas pessoas usam continuam expostos se forem armazenados junto com os registros dos membros. Verifique regularmente se os dados de funções não utilizadas podem ser apagados e se realmente precisam estar junto dos dados principais dos membros.

As empresas afirmam que a senha secundária foi armazenada com hash. A base é nunca armazenar senhas de membros em texto simples ou em formato reversível, e usar um hash lento com sal, como bcrypt ou Argon2. Veja armazenamento de senhas com hash e sal.

As empresas abriram a central de atendimento compartilhada no dia seguinte ao anúncio e, segundo a FAQ da FANCL, enviaram e-mails aos clientes afetados no mesmo dia. Quando avisos genuínos chegam antes que os falsos se espalhem, os membros conseguem distingui-los com mais facilidade. Evite avisos que pedem que as pessoas informem dados pessoais por meio de um link, e oriente os destinatários a verificar no site oficial, para que a diferença em relação às mensagens falsas fique clara.