Vazamento no site de pesquisas Qzoo (cerca de 400.000 registros): dados de membros, incluindo dados de contas bancárias, podem ter vazado, e o que os membros devem fazer

A empresa pede que os membros que usam em outros serviços a mesma combinação de endereço de e-mail e senha do Qzoo troquem prontamente a senha desses serviços. Ela não disse como as senhas eram armazenadas.

Quando um par de e-mail e senha é conhecido, ele pode ser testado em outros sites. Comece pelo e-mail, internet banking, compras on-line e serviços de pontos, e use uma senha diferente para cada serviço. Um gerenciador de senhas é a forma realista de fazer esse levantamento. Ative também a verificação em duas etapas na sua conta de e-mail.

Quanto à própria senha do Qzoo, a empresa diz que pedirá a todos os painelistas que a redefinam quando o serviço for retomado.

A empresa alerta sobre e-mails, mensagens de texto e mensagens semelhantes que se façam passar pelo Qzoo ou pela empresa, e diz que nunca entrará em contato com os membros pedindo que informem uma senha ou outros dados. Ela pede que os membros não abram URLs ou anexos de e-mails suspeitos.

A empresa diz que entrará em contato individualmente com os afetados, aos poucos, então mensagens verdadeiras e falsas podem chegar ao mesmo tempo. Se você receber uma mensagem sobre "confirmar sua conta para pagamento de recompensas", "redefinir sua senha" ou "um pedido de desculpas", não use o link dela; consulte os comunicados no site oficial da empresa (veja O que é phishing?).

Esta etapa e a seguinte são orientações deste site, dadas porque números de conta, nomes de agência e nomes de titulares estão no alcance. Não são pedidos feitos no comunicado da empresa.

O número da conta e o nome do titular são dados que você informa para que possam lhe pagar; sozinhos, não servem para sacar dinheiro. Saques e transferências exigem coisas como o seu cartão e a sua senha bancária (PIN), ou o login e os códigos de autenticação do internet banking. O que é preciso observar é um contato de alguém que se diz do seu banco, da empresa ou da polícia, usa os dados da sua conta para parecer verdadeiro e diz que sua conta está sendo usada indevidamente ou que precisa confirmar sua conta de recebimento.

Como orientação geral, a Associação de Bancos do Japão diz que nunca pede aos clientes suas senhas bancárias ou senhas de acesso, e a Agência Nacional de Polícia do Japão diz que policiais nunca pedem senhas bancárias por telefone ou meios semelhantes. Nunca informe sua senha bancária, seus dados de login ou senhas de uso único (códigos de autenticação de uso único) por telefone, e-mail ou mensagem de texto.

Verifique o extrato ou o aplicativo do banco da conta que você cadastrou no Qzoo em busca de depósitos, saques ou débitos que você não reconhece. Se encontrar algum, entre em contato imediatamente com o seu banco usando o número que consta no extrato, no verso do seu cartão ou no site oficial do banco. Não ligue para um número informado em uma mensagem que você recebeu. A Agência Nacional de Polícia também pede que quem encontrar saques não autorizados feitos por meio de serviços de pagamento sem dinheiro em espécie entre em contato tanto com o banco ou outro provedor quanto com a polícia.

O comunicado da empresa não pede que os membros entrem em contato com o banco. Não encontramos nenhuma orientação oficial dizendo que uma conta deva ser substituída só porque seu número pode ter vazado.

A empresa alerta sobre correspondências e contatos suspeitos enviados à casa dos membros. Como endereços e datas de nascimento estão no alcance, contatos falsos convincentes podem chegar não só por e-mail, mas também por cartão-postal, carta ou telefone.

Um remetente que informa corretamente seu nome, endereço, data de nascimento ou conta bancária cadastrada não prova com isso que é verdadeiro. Esses são exatamente os dados que podem ter vazado. Para dúvidas, use o contato indicado no comunicado (atendimento ao cliente do Qzoo: qzoo_support@monitas.co.jp) ou dados de contato que você conferiu no site oficial da empresa.

Em geral, itens sensíveis como dados bancários ficam em um banco de dados separado dos perfis dos membros e das respostas a pesquisas (ou em uma área criptografada separada), legível apenas pelo processo de pagamento. Se a conta que executa as páginas do site também puder ler os dados bancários, um único ponto de entrada falho expõe tudo.

Injeção de SQL é o nome geral das vulnerabilidades em que a entrada é tratada como parte do próprio comando SQL (veja O que é injeção de SQL?). Em geral, padronize o uso de placeholders (consultas parametrizadas) e inclua no levantamento as páginas antigas e as funções administrativas.

Segundo o comunicado da empresa, passaram-se cerca de 10 horas entre o início do acesso não autorizado (8:30) e sua detecção (18:44). Em geral, registrar o número de linhas lidas por requisição, picos de erros e gravações em tabelas que normalmente não mudam, e alertar a equipe quando limites forem ultrapassados, é um primeiro passo prático para encurtar o tempo até perceber.