Несанкционированный доступ к Nojima Online и сайту выкупа б/у телефонов (около 7 миллионов записей): имена, адреса, телефоны и зашифрованные пароли, и что делать участникам

Среди утекших данных вместе указаны имя, дата рождения, пол, адрес, номер телефона и адрес электронной почты. С ними сообщение может правильно называть ваше имя и адрес. Компания также предупреждает, что данные могут быть использованы для писем от чужого имени и фишинга, и просит не открывать незнакомые ссылки и вложения.

Если вы получили сообщение о «купоне в качестве извинения», «повторном подтверждении данных участника» или «баллах, срок которых скоро истекает», не открывайте ссылку в нем. Откройте браузер сами и проверьте на официальном сайте. Поддельные SMS (смишинг) работают так же (Что такое фишинг?).

В уведомлении сказано, что утекшие пароли были зашифрованы. Просьбы к участникам менять пароли там нет. На момент уведомления от 2 ноября два сайта были временно приостановлены (уведомления о возобновлении на 4 ноября мы не нашли), а способ шифрования не раскрыт.

Поэтому мы предлагаем следующее: если вы используете тот же пароль, что и для аккаунта Nojima Online или сайта выкупа, или его небольшую вариацию, в электронной почте, других магазинах или соцсетях, смените его в этих других сервисах. Ваш логин и адрес электронной почты тоже утекли, поэтому повторное использование может дать кому-то отправную точку для попыток входа в другие сервисы. Это наше мнение, а не рекомендация компании. Реалистичный способ навести порядок — менеджер паролей, а в статье как проверить, утёк ли ваш пароль можно посмотреть, встречается ли повторно используемый пароль в прошлых утечках. Включите двухэтапную проверку, где это возможно.

Если после возобновления сайтов компания предложит установить новый пароль, следуйте ее указаниям.

Компания говорит, что не хранит данные кредитных карт на двух сайтах. Поэтому относитесь с подозрением к любому сообщению, которое просит ввести номер карты или «заново зарегистрировать карту». Звонящий, который правильно называет ваше имя и дату рождения, ничего не доказывает, ведь именно эти данные и утекли.

Если у вас просят пароль или номер карты, не сообщайте их. Это наш совет.

Новый адрес электронной почты создать можно, а номер телефона и адрес менять трудно. В общем случае на утекший номер могут приходить мошеннические звонки и SMS и под другими именами, не только Nojima (наше мнение). Включенные в телефоне фильтры спам-звонков и спам-SMS уменьшают их количество (основы безопасности смартфона).

В качестве контакта по этому инциденту компания указывает центр обслуживания клиентов Nojima (0120-574-853, 9:30–19:00 JST, бесплатный номер в Японии). Берите номер из этого уведомления на официальном сайте Nojima, а не из присланного вам сообщения.

В уведомлении сказано «зашифрованные пароли». В общем случае пароли хранят не с обратимым шифрованием, а с односторонним хешем (намеренно медленный метод в сочетании со случайным значением для каждого пользователя). Проверьте, как их хранит ваш сайт и когда в последний раз пересматривалась настройка стойкости (как хранить пароли). Что именно было применено здесь, не раскрыто.

В уведомлении сказано, что компания обрабатывает платежи, не храня платежные данные, поэтому на двух сайтах нет данных кредитных карт. Если данных нет, ущерб от утечки меньше. Примените то же рассуждение к дате рождения и полу: зачем они хранятся и можно ли неиспользуемые поля не собирать или удалить? В уведомлении также сказано, что вышедшие участники не включены, и та же инвентаризация охватывает то, что происходит с данными после выхода.

Согласно уведомлению, доступ был обнаружен и подтвержден в воскресенье, 1 ноября, а объявлено об этом в понедельник, 2 ноября. В качестве мер после обнаружения в уведомлении названы отключение внешнего доступа, обращение в полицию, приостановка сайтов и уведомления на сайте и в соцсетях, но даты их выполнения не приведены. Решите сегодня, кто в вашей организации принимал бы решения, кто отключал бы сайт и кто публиковал бы сообщение, если бы это случилось в выходной.