Violação no app e na loja online MrMax (até cerca de 1,74 milhão de pessoas): nomes, e-mails e telefones vazados — o que os membros devem fazer

Os dados vazados combinam ID de membro, nome, e-mail e telefone. Com tudo isso, um golpista pode enviar uma mensagem com o seu nome correto e a sua ID de membro.

Se você receber uma mensagem sobre "cupons de desculpas", "pontos bônus", "recadastro dos dados de membro" ou "procedimentos de reembolso", não abra o link; abra o app ou o site oficial por conta própria para verificar. Mensagens de texto falsas (smishing) devem ser tratadas da mesma forma (veja O que é phishing?).

A empresa diz que nunca pedirá sua senha ou número de cartão de crédito. Ela também diz ter confirmado que senhas e dados de cartão de crédito não vazaram.

Quem liga sabendo seu nome e sua ID de membro não fica comprovado como genuíno por isso. Esses são exatamente os dados que vazaram. Se alguém pedir número de cartão ou senha em nome de um pedido de desculpas ou reembolso, trate como falso.

A empresa diz que entrará em contato individualmente com os membros afetados por e-mail, enviado de noreply@mrmax.jp. Esse endereço é diferente do domínio do site (mrmax.co.jp), mas é o remetente que a própria empresa anunciou.

Mesmo assim, endereços de remetente podem ser falsificados. Mesmo que o remetente pareça correto, a regra mais simples é nunca entrar ou digitar nada por um link do e-mail.

A empresa diz que as senhas não vazaram, portanto, segundo o comunicado, não há necessidade de trocar a sua imediatamente.

Se você usa a mesma senha da sua conta MrMax em outros serviços, separe-as agora. Um gerenciador de senhas é a forma realista de fazer o inventário. Você pode verificar se uma senha reutilizada aparece em vazamentos anteriores com Como verificar se sua senha vazou.

Você pode criar um novo e-mail, mas um número de telefone não é fácil de trocar. Os números vazados podem receber ligações e mensagens de golpe por muito tempo, inclusive as que não têm nada a ver com a MrMax.

Ativar os filtros de chamadas e mensagens de spam do celular reduz quantas chegam até você (contexto: Noções básicas de segurança para smartphones). A empresa também pede que os membros fiquem atentos a correspondências postais suspeitas, embora diga que os endereços não vazaram.

A empresa informa um e-mail para dúvidas sobre este incidente (incident-desk@mrmax.co.jp). Use os dados de contato constantes do comunicado no site oficial da MrMax, e não os indicados em mensagens que você tenha recebido.

Um app ou loja online é construído com várias peças de software: um pacote de e-commerce, telas administrativas, plugins e bibliotecas externas. Comece listando quais softwares e quais versões você usa. Ferramentas gratuitas como o osv-scanner podem verificar dependências em busca de vulnerabilidades conhecidas em uma programação regular.

Além das versões, liste também as funções que rodam no servidor: upload de arquivos, importação e exportação em massa, APIs administrativas, saídas de depuração e assim por diante.

Funções que vêm ativadas por padrão, mas nunca são usadas, são mais seguras desligadas. Se você mantiver uma função administrativa, não a deixe aberta a qualquer pessoa na internet; restrinja de onde ela pode ser acessada e exija autenticação multifator.

Padrões de risco de cada framework estão reunidos em Segurança por framework.

A empresa diz que percebeu o acesso suspeito em uma noite de sábado, suspendeu o serviço imediatamente e bloqueou o acesso externo no mesmo dia. Para conseguir fazer o mesmo em um feriado, defina com antecedência quem recebe os alertas e quem decide suspender o serviço.

Como primeiro passo, registre a cada hora quantas linhas são lidas do banco de dados de membros e como as funções administrativas são usadas, e envie um alerta para o plantonista quando os números fugirem bastante do normal (contexto: Limitação de taxa e controle de abuso).