Vazamento de dados da Trustbank no Furusato Choice (4.454.097 registros de membros): nomes, endereços e senhas com hash vazaram; o que doadores devem fazer

Os itens vazados incluem senhas com hash. O hash transforma a senha para que ela não seja armazenada da forma original. Senhas curtas ou fáceis de adivinhar, porém, em geral podem ser recuperadas com tempo suficiente (veja O que é hash de senha?).

A empresa pede que quem usa a mesma combinação de e-mail e senha do Furusato Choice em outros serviços troque a senha desses serviços. Comece pelos serviços ligados a dinheiro ou dados pessoais, como compras online, programas de pontos e e-mail, e ative a verificação em duas etapas sempre que possível (Qual método de 2FA é o mais seguro?).

Com nome, endereço, telefone e e-mail juntos, alguém pode escrever uma mensagem falsa convincente que cumprimenta você pelo nome. Doadores não se surpreenderiam com notícias sobre entregas de presentes de agradecimento ou documentos de doação, o que torna mais difícil identificar mensagens falsas sobre esses temas.

A empresa pede que as pessoas fiquem atentas a e-mails, mensagens de texto, ligações e cartas suspeitos que se façam passar por ela ou por partes relacionadas, e que não abram URLs ou anexos desconhecidos. Para verificar qualquer coisa, use o site oficial ou a página oficial da prefeitura, acessados por você mesmo (veja O que é phishing?).

A empresa pede que as pessoas não informem dados pessoais ou senhas em sites suspeitos. Nada nos comunicados diz que os usuários serão solicitados a informar números de cartão, dados bancários ou senhas por causa deste incidente.

Se uma ligação ou carta pedir esses dados em nome de um pedido de desculpas, de um reembolso ou do reenvio de um presente de agradecimento, não responda; desligue e verifique pelo contato oficial.

A empresa diz que vem enviando e-mails individuais aos membros, em sequência, desde 21 de outubro, informando se seus dados pessoais vazaram e quais itens foram confirmados.

Comunicados verdadeiros e falsificações que os imitam podem chegar ao mesmo tempo. Se você receber um, não faça login nem tome qualquer providência pelos links dele; compare-o com os comunicados na sala de imprensa da Trustbank. O contato indicado nos comunicados é o endereço de e-mail toiawase@trustbank.co.jp.

Até 25 de outubro, os comunicados da empresa não dizem nada sobre efeitos nos pedidos de exceção de ponto único, nas declarações de imposto de renda ou nos recibos de doação. Os serviços estão suspensos desde 19 de outubro, e as doações pelo Furusato Choice não estão sendo aceitas (segundo prefeituras como a de Izumiotsu). Consulte as páginas oficiais da empresa e da prefeitura destinatária da sua doação para orientações.

Segundo a empresa, os dados de cartão salvos eram buscados na processadora de pagamentos cada vez que a tela Minha Página era exibida, e não eram armazenados em seus sistemas. Apenas os últimos quatro dígitos, o nome do titular e a data de validade eram exibidos. Em um site de membros que trata cartões, uma configuração em que você não guarda os números de cartão (usando o armazenamento da processadora de pagamentos) limita os danos caso uma invasão não possa ser interrompida.

As senhas vazadas estavam com hash. Não foi divulgado quão forte era esse hash (se tinha sal, se usava um algoritmo lento). Em geral, um algoritmo lento com sal (bcrypt, scrypt, Argon2 e similares) aumenta muito o tempo necessário para recuperar as senhas originais (Como armazenar senhas com segurança). No primeiro comunicado, a empresa pediu aos usuários que trocassem as senhas que haviam reutilizado em outros lugares.

A empresa notou padrões de acesso incomuns, verificou-os e encerrou o serviço em 19 de outubro, dois dias após o acesso não autorizado. Acompanhar o volume diário e a frequência de acessos aos registros de membros, com alertas quando o volume fugir do normal, e definir com antecedência quem decide encerrar o serviço reduz o tempo entre perceber o problema e interromper o acesso.

Os itens vazados incluíram o valor estimado da dedução do imposto. Em geral, decidir se e por quanto tempo você precisa manter resultados calculados e históricos armazenados por conveniência dos usuários, e não manter os que não são necessários, reduz o que pode vazar (a forma como a empresa armazenava esse item não foi divulgada).