Взлом системы заявок на линии NIFTY (до 542 513 записей): могут раскрыться идентификаторы участников, имена, адреса и номера телефонов. Что делать абонентам оптоволокна

Согласно уведомлению, охват включает клиентов, подавших заявку на линию с 2019 года (кроме сайта компании), на услуги @nifty Hikari, @nifty MAX Hikari и @nifty au Hikari Plus.

Заявки, поданные через сайт компании, по всей видимости, не затронуты, однако в уведомлении подробно не объясняется, какие каналы подачи заявок включены. Также не сказано, будут ли затронутые клиенты уведомлены лично. Если вы не уверены, затронуты ли вы, проверьте через контакт, указанный ниже.

В перечень входят имя, адрес, номер телефона и адрес электронной почты. Вместе они позволяют составить убедительные письма и SMS с верными именем и адресом.

Компания просит клиентов остерегаться подозрительных писем, звонков и SMS, выдающих себя за компанию или связанные с ней стороны, и не открывать содержащиеся в них ссылки и не вводить персональные данные. Даже если сообщение касается «извинений», «проверки договора на линию» или «возврата средств» (примеры с этого сайта), не открывайте ссылки в нём; проверяйте через официальный сайт, который откроете сами из закладок или поиска (как распознать такие сообщения: что такое фишинг).

Компания заявляет, что в связи с этим инцидентом она никогда не будет лично связываться с клиентами по электронной почте, телефону или иным способом, чтобы запрашивать PIN-коды, пароли, данные кредитных карт и т. п. Считайте любой контакт, который такие данные запрашивает, поддельным, даже если он выдаёт себя за компанию.

В перечень также входят идентификатор участника, дата рождения и адрес. Звонящий, который знает ваш идентификатор участника или дату рождения, ничего не доказал. Не отвечайте; положите трубку и перезвоните по номеру, который найдёте сами. Так же поступайте с теми, кто приходит к вам домой, и с письмами по почте.

В отличие от адреса электронной почты или номера телефона, дату рождения нельзя изменить. На этот раз она входила в перечень наряду с именем и адресом.

Если вы используете дату рождения (например, «0815») как PIN-код банковской или кредитной карты или как код блокировки экрана телефона, смените его сейчас. Это общая рекомендация этого сайта, а не указание компании.

Пароли не входят в перечень данных, которые могут быть затронуты, и не упоминаются в уведомлении. Компания не просила клиентов менять пароли.

Однако то, что пароли не упомянуты, не подтверждает их сохранность. Если вы используете один и тот же пароль для @nifty и других сервисов, сейчас хорошее время сделать их разными. Для удобства учёта подойдёт менеджер паролей.

В уведомлении указана выделенная линия @nifty (телефон 0120-924-719, бесплатно в пределах Японии, ежедневно с 10:00 до 18:00). Проверьте номер на странице уведомления компании, которую откроете сами, а не в контакте, который вам поступил.

Если после подозрительного контакта вы уже передали или ввели персональные данные, начните с обращения на эту линию. Если вы заплатили деньги или сообщили банковские или карточные данные, также свяжитесь с банком или компанией, выпустившей карту, и с телефоном консультации полиции (#9110 в Японии).

В общем случае тестирование уязвимостей и мониторинг начинаются с сайтов, которыми пользуются клиенты. Однако внутренние инструменты для управления заявками и их обработки часто содержат не меньше персональных данных, чем формы для клиентов, а иногда и больше, и хранят их в одном месте.

Внесите в единый список все системы, в которых хранятся персональные данные клиентов, будь то внешние или внутренние, и для каждой запишите, откуда к ней можно обратиться, чьи учётные записи её используют и где хранятся её журналы активности. Не делите область проверок на внешние и внутренние системы; применяйте одинаковые проверки ко всему списку.

Этот инцидент касается подававших заявки с 2019 года. В общем случае записи о завершённых заявках редко нужны в повседневной обработке.

Определите, на какой срок назад могут заглядывать рабочие экраны, и переносите более старые записи в отдельное хранилище или сокращайте набор их полей. Это уменьшает число людей и данных, попадающих в зону риска, если инструмент управления будет скомпрометирован. Записи, которые вы обязаны хранить по закону или по договору, держите отдельно от рабочих экранов.

Компания прямо заявила в уведомлении, что по этому инциденту не будет запрашивать PIN-коды, пароли, данные кредитных карт и т. п. Это сведения, которые клиенты могут сразу использовать, чтобы распознать поддельные контакты.

До того как инцидент произойдёт, решите, что ваша организация никогда не будет запрашивать по телефону или электронной почте, и какие отправители используются для важных уведомлений, и опубликуйте это на официальном сайте. Тогда такие рекомендации можно будет выпустить в день инцидента. Защиту от подмены отправителя см. в статье SPF, DKIM и DMARC против поддельных писем.