Утечка данных Lashinbang: номера удостоверений личности и банковские реквизиты для выплат могли утечь (изображений документов нет) — что делать продавцам

В разделе, добавленном в уведомление, компания сообщает, что под угрозой находятся те, кто получил от неё индивидуальное письмо. Согласно её Q&A, в число затронутых входят и некоторые люди, которые пользовались сервисом до 14–16 сентября; письма отправляются поэтапно по мере подтверждения фактов. Затронутые данные различаются в зависимости от того, какими услугами вы пользовались и как.

Если письмо ещё не пришло или вы хотите знать, какие ваши данные затронуты, самостоятельно откройте официальный сайт компании и воспользуйтесь специальной формой запроса о персональных данных, ссылка на которую есть в уведомлениях (обработка в будние дни, с 10:00 до 18:00 по японскому времени). Индивидуальные запросы обрабатываются через эту форму, поскольку компания должна подтвердить, что вы затронуты, и проверить вашу личность. Компания сообщает, что может не ответить на вопросы сверх того, что сказано в уведомлении и письмах.

Переходите к форме с официального сайта, а не по ссылке из письма или SMS.

Компания предупреждает, что могут приходить письма, SMS, письма по почте и телефонные звонки от имени компании или других сторон, и просит клиентов не открывать ссылки из них и не вводить и не сообщать личные данные.

В её Q&A сказано, что компания никогда не отправляет письма с предложением зарегистрироваться в LINE или PayPay (мессенджере и платёжном приложении, широко используемых в Японии). Не переходите по ссылкам из таких писем; удаляйте их (как распознать такие письма: Что такое фишинг? Виды атак и защита надёжнее, чем попытки его распознать).

В уведомлении также сказано, что компания никогда не запрашивает пароли или данные кредитных карт по электронной почте, SMS или телефону. Если кто-то просит их сообщить, не отвечайте, даже если этот человек называет имя компании.

Номер счёта и имя владельца — это данные, которые вы сообщаете, чтобы вам могли перевести деньги, и сами по себе они не позволяют снять деньги. Для снятия и переводов нужны такие вещи, как банковская карта и PIN-код, либо логин интернет-банка и коды аутентификации.

Стоит насторожиться, если с вами связывается тот, кто представляется банком, компанией или полицией, использует данные вашего счёта, чтобы выглядеть правдоподобно, и говорит, что счёт используется незаконно, что выплату за выкуп нужно перечислить повторно или что нужно оформить возврат средств. Японская банковская ассоциация заявляет, что никогда не запрашивает PIN-коды или пароли клиентов, и предупреждает о людях, которые выдают себя за сотрудников ассоциации или банков, чтобы получить данные счёта и PIN-коды. Национальное полицейское агентство предупреждает о звонящих, которые представляются полицейскими, говорят, что счёт нужно заблокировать, и просят передать банковскую карту; оно сообщает, что полицейские никогда не запрашивают PIN-коды по телефону. Никогда не сообщайте PIN-код, данные для входа или одноразовые пароли (коды аутентификации для однократного использования) по телефону или электронной почте.

Также проверьте сберегательную книжку или банковское приложение на наличие поступлений, снятий или списаний, которых вы не узнаёте, и немедленно свяжитесь с банком, если найдёте такие операции. Национальное полицейское агентство также призывает тех, кто обнаружил несанкционированные снятия, обращаться и в банк, и в полицию.

Уведомление компании не просит клиентов связываться с банком. Рекомендации Японской банковской ассоциации и Национального полицейского агентства также советуют обратиться, если вы получили подозрительный звонок или визит или обнаружили реальные потери. Ассоциация сообщает, что если кто-то, представляясь её сотрудником, звонит или приходит, вы должны сообщить об этом в полицию или в её консультационный центр.

Мы не нашли официальных рекомендаций, согласно которым счёт нужно заменить только потому, что его номер утёк. Если вы всё ещё беспокоитесь, позвоните в свой банк по номеру, указанному в сберегательной книжке, на обратной стороне банковской карты или на официальном сайте банка. Не звоните по номеру, указанному в полученном вами сообщении.

Под угрозой «вид и номер» документа, удостоверяющего личность. В дополнении от 9 октября компания сообщает, что изображения документов, удостоверяющих личность, включая водительские удостоверения, не утекли, поэтому фотографии вашего лица или самой карты не затронуты.

В уведомлении не сказано, к каким документам (например, водительскому удостоверению) относятся номера, а компания заявляет, что не собирает Мой номер. Через форму запроса вы можете узнать, какой документ вы предъявляли, однако компания сообщает, что может не ответить на индивидуальные вопросы сверх того, что сказано в уведомлении и письмах.

Даже без изображений сведения о номере вместе с вашим именем, адресом и датой рождения могут быть использованы при оформлении заявок от вашего имени. В качестве меры предосторожности рассмотрите подачу самодекларации в японские бюро кредитных историй (CIC, JICC и кредитный информационный центр Японской банковской ассоциации). Сборы, сроки регистрации и порядок запроса собственной кредитной истории описаны в статье Что делать при утечке данных водительского удостоверения.

Если вы отправили деньги или ввели банковские или карточные данные в ответ на подозрительный контакт, сначала свяжитесь со своим банком или эмитентом карты.

В Японии также можно позвонить на полицейскую консультационную линию (#9110) или в потребительскую горячую линию (188). Чем быстрее вы сообщите о случившемся, тем выше шанс остановить потери. Если из-за поддельного письма вы ввели пароль, немедленно смените его, а также пароли от других сервисов, где используется тот же пароль (Безопасны ли менеджеры паролей? Как они работают, облако vs локально и как выбрать).

Статья 16 Закона о торговле подержанными товарами требует, чтобы дилеры вели записи о дате сделки, товаре и количестве, отличительных признаках, адресе, имени, профессии и возрасте другой стороны, а также о способе проверки. Статья 18 требует хранить эти записи три года с даты последней записи.

Сначала разделите имеющиеся данные на «требуемые законом» и «хранимые для удобства бизнеса». Удаляйте записи, требуемые законом, по истечении срока, а для всего остального установите гораздо более короткий срок, например удаление после завершения выплаты, с автоматическим удалением, а не ручной очисткой.

Банковский счёт для выплаты за выкуп нужен для осуществления платежа. Если вы храните его, чтобы упростить следующую заявку, позвольте клиентам выбирать, сохранять ли его, и рассмотрите удаление после оплаты для тех, кто не дал согласия.

Номера документов, удостоверяющих личность, и изображения согласий не нужно ежедневно читать при обработке заказов или на страницах участников. Храните их в отдельном хранилище с отдельными правами доступа, чтобы взлом системы участников или заказов не привёл к их компрометации, и включите многофакторную аутентификацию для входа администраторов (Как правильно выбирать MFA).

Подробнее о проверке сервисов, которые хранят документы, удостоверяющие личность, см. раздел для операторов в статье о Times Car.