Acesso não autorizado à Nojima Online e ao site de recompra de celulares usados (cerca de 7 milhões de registros): nomes, endereços, telefones e senhas criptografadas, e o que os membros devem fazer

Os itens vazados incluem juntos nome, data de nascimento, gênero, endereço, número de telefone e e-mail. Com isso, uma mensagem pode acertar o seu nome e o seu endereço. A empresa também alerta que os dados podem ser usados em e-mails de falsificação de identidade e phishing, e pede que você não abra links ou anexos que não reconheça.

Se você receber uma mensagem sobre um “cupom de desculpas”, a “reconfirmação dos seus dados de membro” ou “pontos prestes a expirar”, não abra o link. Abra você mesmo o navegador e confira no site oficial. Mensagens de texto falsas (smishing) funcionam da mesma forma (o que é phishing?).

O comunicado diz que as senhas vazadas estavam criptografadas. Ele não pede aos membros que troquem a senha. No comunicado de 2 de novembro os dois sites estavam suspensos temporariamente (não vimos aviso de reabertura em 4 de novembro), e o método de criptografia não foi divulgado.

Por isso sugerimos o seguinte: se você usa a mesma senha da sua conta da Nojima Online ou do site de recompra, ou uma leve variação dela, em e-mail, outras lojas ou redes sociais, troque-a nesses outros serviços. Seu ID de login e seu e-mail também vazaram, então a reutilização pode dar a alguém um ponto de partida para tentar outros serviços. Esta é a visão deste site, não uma orientação da empresa. Um gerenciador de senhas é a forma realista de organizar isso, e como verificar se sua senha vazou mostra se uma senha reutilizada aparece em vazamentos anteriores. Ative a verificação em duas etapas onde puder.

Se a empresa orientar os membros a definir uma nova senha quando os sites reabrirem, siga essa orientação.

A empresa diz que não mantém informações de cartão de crédito nos dois sites. Por isso, desconfie de qualquer mensagem que peça para você digitar um número de cartão ou “recadastrar seu cartão”. Quem liga acertando seu nome e sua data de nascimento não prova nada, porque esses são justamente os dados que vazaram.

Se pedirem uma senha ou um número de cartão, não informe. Este é um conselho deste site.

Você pode criar um novo endereço de e-mail, mas o número de telefone e o endereço são difíceis de trocar. Em geral, ligações e mensagens de golpe podem chegar a um número vazado em nome de outras empresas que não a Nojima (visão deste site). Ativar os filtros de chamadas e mensagens de spam do celular reduz quantas chegam (noções básicas de segurança para smartphones).

A empresa indica a Central de Atendimento ao Cliente da Nojima (0120-574-853, das 9h30 às 19h JST, um número gratuito japonês) como contato para este incidente. Pegue o número neste comunicado no site oficial da Nojima, não em uma mensagem enviada a você.

O comunicado fala em senhas criptografadas. Em geral, as senhas são guardadas não com criptografia reversível, mas com um hash unidirecional (um método deliberadamente lento combinado com um valor aleatório por usuário). Verifique como o seu site as guarda e quando a configuração de força foi revisada pela última vez (como armazenar senhas). Qual dos dois se aplicava aqui não foi divulgado.

O comunicado diz que a empresa processa pagamentos sem guardar os dados, então os dois sites não contêm informações de cartão de crédito. Não guardar dados reduz o dano de um vazamento. Aplique o mesmo raciocínio à data de nascimento e ao gênero: por que são armazenados, e os campos não utilizados poderiam deixar de ser coletados ou ser excluídos? O comunicado também diz que membros que cancelaram o cadastro não estão incluídos, e o mesmo inventário abrange o que acontece com os dados após o cancelamento.

Segundo o comunicado, o acesso foi detectado e confirmado no domingo, 1º de novembro, e anunciado na segunda-feira, 2 de novembro. O comunicado lista como respostas após a descoberta o corte do acesso externo, a consulta à polícia, a suspensão dos sites e os avisos no site e nas redes sociais, mas não informa as datas em que foram realizadas. Decida hoje quem decidiria, quem tiraria o site do ar e quem publicaria se isso acontecesse em um fim de semana na sua organização.