Violação no sistema de inscrição de linhas da NIFTY (até 542.513 registros): números de membro, nomes, endereços e telefones podem ter sido expostos — o que os clientes de fibra devem fazer

Segundo o comunicado, o escopo abrange clientes que solicitaram uma linha desde 2019 (excluindo o site da empresa), para @nifty Hikari, @nifty MAX Hikari e @nifty au Hikari Plus.

As inscrições feitas pelo site da empresa parecem estar excluídas, mas o comunicado não explica em detalhes quais rotas de inscrição estão incluídas. Também não diz se os clientes afetados serão contatados individualmente. Se você não tem certeza se foi afetado, consulte o contato abaixo.

Os itens incluem nome, endereço, telefone e endereço de e-mail. Juntos, eles permitem criar e-mails e mensagens de texto convincentes com seu nome e endereço corretos.

A empresa pede aos clientes que fiquem atentos a e-mails, ligações e mensagens de texto suspeitos que se façam passar pela empresa ou por partes relacionadas, e que não abram os URLs neles contidos nem informem dados pessoais. Mesmo que a mensagem trate de um "pedido de desculpas", uma "verificação do contrato da linha" ou um "reembolso" (exemplos deste site), não abra seus links; verifique pelo site oficial que você abrir por conta própria, a partir de um favorito ou de uma busca (para identificar esses golpes: o que é phishing).

A empresa diz que, em relação a este incidente, nunca entrará em contato individualmente por e-mail, telefone ou meios semelhantes para pedir PINs, senhas, dados de cartão de crédito e similares. Trate qualquer contato que peça essas informações como falso, mesmo que diga ser da empresa.

Os itens também incluem número de membro, data de nascimento e endereço. Quem ligar e souber seu número de membro ou data de nascimento não provou nada. Não responda; desligue e ligue de volta para um número que você mesmo procurar. Aplique a mesma abordagem a quem visitar sua casa ou a cartas.

Diferente de um endereço de e-mail ou número de telefone, a data de nascimento não pode ser alterada. Desta vez, ela estava entre os itens junto com nome e endereço.

Se você usa sua data de nascimento (como "0815") como PIN de banco ou cartão de crédito, ou como bloqueio de tela do celular, troque-a agora. Este é um conselho geral deste site, não uma orientação da empresa.

Senhas não estão entre os itens que podem ter sido afetados e não são mencionadas no comunicado. A empresa não pediu aos clientes que alterassem suas senhas.

Não ser mencionado, porém, não confirma que as senhas estavam seguras. Se você usa a mesma senha na @nifty e em outros serviços, este é um bom momento para torná-las diferentes. Um gerenciador de senhas é a forma prática de controlá-las.

O comunicado indica a linha dedicada @nifty (telefone 0120-924-719, gratuita no Japão, das 10h às 18h todos os dias). Confira o número na página de comunicados da empresa que você mesmo abrir, e não em um contato que tenha recebido.

Se você já forneceu ou digitou dados pessoais após um contato suspeito, comece perguntando nesta linha. Se pagou dinheiro ou informou dados bancários ou de cartão, entre também em contato com seu banco ou com a operadora do cartão e com a linha de consulta da polícia (#9110 no Japão).

Em geral, os testes de vulnerabilidade e o monitoramento costumam começar pelos sites que os clientes usam. Ferramentas internas para gerenciar e processar inscrições, porém, muitas vezes guardam tanto dado pessoal quanto os formulários voltados ao cliente, ou mais, em um único lugar.

Registre todos os sistemas que guardam dados pessoais de clientes em uma única lista, sejam voltados ao cliente ou internos, e anote para cada um de onde pode ser acessado, quais contas o utilizam e onde seus registros de atividade são guardados. Não separe o escopo das verificações entre voltados ao cliente e internos; aplique as mesmas verificações a tudo que estiver na lista.

Este incidente abrange candidatos desde 2019. Em geral, registros de inscrições concluídas raramente são necessários no processamento diário.

Defina até que data as telas de processamento podem consultar e mova registros mais antigos para um armazenamento separado ou reduza seus itens. Isso mantém menor o número de pessoas e itens expostos caso uma ferramenta de gestão seja comprometida. Mantenha separados das telas de trabalho os registros que precisam ser guardados por obrigação legal ou contratual.

A empresa afirmou claramente em seu comunicado que não pedirá PINs, senhas, dados de cartão de crédito e similares sobre este incidente. Essa é uma informação que os clientes podem usar imediatamente para identificar contatos falsos.

Antes que um incidente aconteça, defina o que sua organização nunca pedirá por telefone ou e-mail, quais remetentes usa para comunicados importantes, e publique isso no site oficial. Assim, você pode emitir a mesma orientação no mesmo dia. Para proteção contra falsificação de remetente, veja SPF, DKIM e DMARC contra e-mails falsificados.