Vazamento no app da Ryohin Keikaku (MUJI) (até cerca de 27,26 milhões de registros): e-mails, datas de nascimento e gênero podem ter vazado — o que os usuários devem fazer

Os itens que podem ter vazado são endereço de e-mail, data de nascimento e gênero. Com os endereços de e-mail possivelmente vazados, e-mails que se dizem da MUJI podem chegar a qualquer momento. A própria empresa alerta que e-mails falsos usando os dados vazados podem ser enviados e pede para não clicar em URLs de e-mails suspeitos nem informar dados pessoais.

Se chegar um e-mail sobre “cupons de desculpas”, “pontos prestes a expirar” ou “confirmação dos dados de membro”, não abra o link; abra você mesmo o app da MUJI ou o site oficial para conferir (veja O que é phishing?).

Diferente de um endereço de e-mail, uma data de nascimento não pode ser alterada. Muitos bancos, lojas e operadoras de telefonia a usam como resposta quando você entra em contato ou redefine uma conta.

Confira se você não usou sua data de nascimento como senha ou como resposta a uma pergunta de segurança e troque-a se for o caso. Não dependa só de senha para entrar: ativar a autenticação multifator torna mais difícil tomarem sua conta mesmo que sua data de nascimento seja conhecida.

Senhas e dados de cartão não estão entre os itens deste comunicado. Mesmo assim, se um e-mail pedir que você ligue para um número ou responda para “confirmar” algo, não digite nem diga sua senha ou seu número de cartão de crédito.

Um remetente que sabe sua data de nascimento e seu gênero não se prova genuíno por isso, porque esses são justamente os dados que podem ter vazado.

As senhas não aparecem no comunicado, então nada aqui obriga você a trocar uma. Mas endereços de e-mail costumam ser usados como ID de login, e uma senha reutilizada deixa um vazamento se espalhar para outros serviços.

Um gerenciador de senhas é a forma realista de fazer o inventário. Você pode conferir se uma senha reutilizada aparece em vazamentos passados com Como verificar se sua senha vazou.

O comunicado diz que os dados de clientes que se desligaram estão incluídos. Mesmo que você não use mais o app, se já se cadastrou, siga os passos acima da mesma forma.

A empresa diz que entrará em contato em sequência com os clientes que possam ter sido afetados, mas o comunicado não diz como. Se você não consegue saber se uma mensagem é genuína, não abra seus links; compare com o comunicado no site oficial da empresa.

O comunicado traz uma linha para clientes: o atendimento ao cliente, número gratuito 0120-64-0772 (de segunda a sábado, das 9:30 às 17:00, exceto domingos e feriados de Ano Novo; ligações do Japão). Use o canal do comunicado da empresa, não um número de telefone ou URL de uma mensagem que você recebeu.

Os registros afetados incluem pessoas que se desligaram. Alguns itens são mantidos por um período após o desligamento por lei ou prevenção a fraudes, mas os itens sem motivo para guardar devem ser excluídos após um prazo definido ou substituídos por uma forma que não identifique uma pessoa.

Quanto mais registros você mantém, mais pessoas um incidente atinge. Defina o prazo de retenção para cada tipo de dado.

Além do endereço de e-mail, os itens deste comunicado são aqueles que as pessoas não podem alterar depois. Decida o alcance de que você precisa para cupons ou ofertas por idade e, se possível, guarde uma forma mais grosseira, como uma faixa etária.