Vazamento nos pedidos online da Pizza Hut Japão: endereços de e-mail, números de telefone e tokens de sessão de login vazados, e o que os clientes devem fazer

A empresa diz que terceiros podem usar os endereços de e-mail e números de telefone vazados para enviar e-mails ou SMS suspeitos, ou fazer ligações, se passando pela empresa ou pela Pizza Hut. Ela pede aos clientes que não cliquem em links nem abram anexos de mensagens inesperadas.

Cupons, campanhas, pontos de desculpas ou confirmações de pedido parecem naturais para quem já pediu pizza, o que torna as fraudes mais difíceis de perceber. Para conferir qualquer coisa, use o app oficial da Pizza Hut ou o site oficial aberto por conta própria (veja O que é phishing?).

A empresa pede aos clientes que não digitem nem informem dados importantes, como senhas ou dados de cartão de crédito, em resposta a essas mensagens. Uma mensagem que leva você a uma página de login ou de pagamento, ou uma ligação que pede um número de cartão ou um código de verificação, deve ser tratada como suspeita só por isso.

As informações vazadas incluem tokens de sessão de login (as informações que mantêm você conectado) e registros de transações. O comunicado não diz se os tokens foram invalidados. Faça login pelo app oficial ou pelo site aberto por conta própria e verifique se há pedidos que você não fez e alterações no endereço de e-mail, número de telefone ou endereço de entrega cadastrados.

A central de atendimento da Pizza Hut Japão é o 0120-679-023 (das 10:00 às 19:00, horário do Japão), além do formulário de contato no site oficial (pizzahut.jp/faq). Ambos estão no comunicado da empresa. Use esses canais em vez de qualquer número de telefone informado em um e-mail ou SMS recebido.

Senhas não estão na lista de informações vazadas, e a empresa não pede que os clientes as troquem. Se você reutiliza a mesma senha em outros serviços, este ainda é um bom momento para corrigir isso, o que também ajuda contra futuras mensagens falsas (Como escolher um gerenciador de senhas).

Segundo o comunicado, o acesso ocorreu por meio de uma API de pagamento, descrita como um mecanismo que troca informações relacionadas a pagamentos entre sistemas, e informações foram obtidas de um banco de dados que continha informações de clientes. Em geral, APIs de integração entre sistemas costumam ser configuradas com acesso ao banco de dados mais amplo do que as telas voltadas ao cliente. Verifique se suas APIs de integração conseguem ler tabelas de que não precisam, como dados de associados, tokens ou registros de contas encerradas.

Os tokens de sessão de login estavam entre os itens vazados. Em geral, não armazenar tokens em texto puro no banco de dados (armazenar um hash e comparar), manter curta a validade deles e conseguir invalidar de uma vez os tokens de todos se houver suspeita de vazamento reduzem o impacto de um vazamento. Decida com antecedência como você os invalidaria e como avisaria os clientes.

Registros relacionados a informações de clientes excluídas estavam entre os itens vazados. Limitar o que você guarda após o encerramento de uma conta ao que a lei ou a contabilidade exigem, e excluir depois desse prazo, reduz o número de pessoas afetadas se ocorrer um incidente.