Vazamento de dados da Lashinbang: números de documentos de identidade e dados bancários para repasse podem ter vazado (sem imagens de documentos) — o que os vendedores devem fazer

Em uma seção acrescentada ao aviso, a empresa diz que as pessoas cujos dados podem ter vazado são as que receberam um e-mail individual dela. Segundo o seu Q&A, algumas pessoas que usaram o serviço antes de 14 a 16 de setembro também estão incluídas, e os e-mails estão sendo enviados em etapas conforme os fatos são confirmados. O que foi afetado varia conforme os serviços que você usou e a forma de uso.

Se nenhum e-mail chegou ainda, ou se você quer saber quais dos seus dados estão envolvidos, acesse o site oficial da empresa e use o formulário dedicado de consulta sobre informações pessoais, indicado nos avisos (atendimento em dias úteis, das 10h às 18h, horário do Japão). As perguntas individuais passam por este formulário porque a empresa precisa confirmar que você foi afetado e verificar sua identidade. Ela diz que pode não conseguir responder a perguntas além do que consta no aviso e nos e-mails.

Acesse o formulário pelo site oficial, e não por um link em e-mail ou mensagem de texto.

A empresa alerta que podem chegar e-mails, mensagens de texto, cartas e ligações que se passem pela empresa ou por outras partes, e pede que os clientes não abram os links nem digitem ou forneçam dados pessoais.

No Q&A, ela afirma que nunca envia e-mails que direcionem clientes ao LINE ou ao PayPay (um aplicativo de mensagens e um aplicativo de pagamento amplamente usados no Japão) para cadastro. Não clique nos links desses e-mails; apague-os (para saber como identificá-los: O que é phishing?).

O aviso também diz que a empresa nunca pede senhas nem informações de cartão de crédito por e-mail, mensagem de texto ou telefone. Se alguém pedir isso, não responda, mesmo que use o nome da empresa.

Número de conta e nome do titular são dados que você informa para que possam pagar você, e sozinhos não podem ser usados para sacar dinheiro. Saques e transferências exigem itens como o cartão de saque e o PIN, ou o login do internet banking e os códigos de autenticação.

O que deve ser observado é um contato de alguém que se apresenta como seu banco, a empresa ou a polícia, usa seus dados bancários para parecer legítimo e diz que sua conta está sendo usada indevidamente, que o pagamento da recompra precisa ser reenviado ou que um reembolso precisa ser processado. A Associação Japonesa de Bancos diz que nunca pede PINs ou senhas dos clientes e alerta sobre pessoas que se passam por funcionários da associação ou de bancos para obter dados bancários e PINs. A Agência Nacional de Polícia alerta sobre pessoas que ligam se passando por policiais e dizem que uma conta precisa ser bloqueada e pedem o cartão de saque, e afirma que policiais nunca pedem PINs por telefone. Nunca informe seu PIN, dados de login ou senhas de uso único (códigos de autenticação de uso único) por telefone ou e-mail.

Confira também sua caderneta ou aplicativo bancário em busca de depósitos, saques ou débitos que você não reconheça, e entre em contato imediatamente com seu banco se encontrar algum. A Agência Nacional de Polícia também pede que pessoas que identifiquem saques não autorizados entrem em contato com o banco e com a polícia.

O aviso da empresa não pede que os clientes entrem em contato com seu banco. As orientações da Associação Japonesa de Bancos e da Agência Nacional de Polícia também recomendam entrar em contato ao receber uma ligação ou visita suspeita, ou ao identificar perdas efetivas. A associação diz que, se alguém que se apresente como funcionário dela ligar ou visitar, você deve informar a polícia ou seu escritório de consultas.

Não encontramos orientação oficial dizendo que uma conta precisa ser substituída apenas porque seu número vazou. Se ainda estiver preocupado, você pode ligar para seu banco usando o número na caderneta, no verso do cartão de saque ou no site oficial do banco. Não ligue para um número informado em mensagem recebida.

O dado em risco é o "tipo e número" do documento de identidade. Em seu adendo de 9 de outubro, a empresa diz que imagens de documentos de identidade, incluindo carteiras de habilitação, não vazaram, então fotos do seu rosto ou da própria carteira não estão envolvidas.

O aviso não diz de quais documentos (a carteira de habilitação, por exemplo) vêm os números, e a empresa diz que não coleta o My Number. Você pode perguntar pelo formulário de consulta qual documento apresentou, embora a empresa diga que pode não conseguir responder a perguntas individuais além do que consta no aviso e nos e-mails.

Mesmo sem imagens, informações de número combinadas com seu nome, endereço e data de nascimento podem ser usadas em pedidos feitos em seu nome. Por precaução, considere registrar uma autodeclaração nos bureaus de crédito do Japão (CIC, JICC e o centro de informações de crédito da Associação Japonesa de Bancos). Taxas, períodos de registro e como solicitar seu próprio relatório de crédito estão em O que fazer quando os dados da sua carteira de habilitação vazam.

Se você enviou dinheiro ou informou dados bancários ou de cartão em resposta a um contato suspeito, entre em contato primeiro com seu banco ou emissora do cartão.

No Japão, você também pode ligar para a linha de consultas da polícia (#9110) ou para a linha de defesa do consumidor (188). Quanto mais cedo você comunicar, maior a chance de interromper a perda. Se um e-mail falso levou você a informar uma senha, troque-a imediatamente, junto com qualquer outro serviço que use a mesma senha (Como escolher um gerenciador de senhas).

O Artigo 16 da Lei sobre comerciantes de artigos usados exige que os comerciantes registrem a data da transação, o item e a quantidade, as características distintivas, o endereço, o nome, a profissão e a idade da outra parte, e o método de verificação utilizado. O Artigo 18 exige que esses registros sejam mantidos por três anos a partir da data do último lançamento.

Primeiro, separe os dados que você possui em "exigidos por lei" e "mantidos por conveniência do negócio". Apague os registros legalmente exigidos quando o prazo terminar e defina um limite bem menor para todo o resto, como excluí-los assim que o pagamento for concluído, com exclusão automática em vez de limpeza manual.

A conta bancária para o pagamento da recompra é necessária para efetuar o pagamento. Se você a mantém para facilitar a próxima solicitação, deixe que os clientes escolham se ela será salva, e considere excluí-la após o pagamento para quem não optar por salvá-la.

Números de documentos de identidade e imagens de termos de consentimento não precisam ser lidos no dia a dia pelo processamento de pedidos ou pelas páginas de membros. Mantenha-os em um armazenamento separado, com permissões separadas, para que uma violação do sistema de membros ou de pedidos não leve esses dados junto, e aplique autenticação multifator nos logins administrativos (Como escolher a autenticação multifator).

Para mais sobre a revisão de serviços que guardam documentos de identidade, veja a seção para operadores do artigo sobre a Times Car.