8.63 מיליון אנשים נרשמו למועדון הלקוחות של רשת הקריוקי הגדולה ביפן. את השמות, תאריכי הלידה, כתובות המייל ומספרי הטלפון שלהם לא החזיקה הרשת עצמה, אלא חברה אחרת שקיבלה ממנה את הטיפול בנתונים. במחשב של עובד באותה חברה נמצאה נוזקה.

מה קרה

רשת Daiichi Kosho מפעילה ביפן 521 סניפי קריוקי, בהם המותג Big Echo. את מסד הלקוחות שלה היא העבירה לטיפולה של חברה חיצונית, Nippon Columbia Group, שבמקורות יפניים מופיעה גם בשם Japan Columbia Group. ב-5 באוקטובר הודיעה אותה חברה ל-Daiichi Kosho שבמחשב של אחד מעובדיה אותרה נוזקה, ולמחרת היא ניתקה את המחשב מהרשת. ההודעה לציבור יצאה ב-8 באוקטובר.

לפי אתר ASCII היפני מדובר בכ-8.631 מיליון רשומות לקוחות ועוד כ-93 אלף רשומות של עובדים, הכוללות שם מלא, מין, תאריך לידה, כתובת מייל וטלפון. סוכנות Jiji מדווחת על מספר אחר, כ-8.72 מיליון לקוחות, ואתר BleepingComputer כותב בגוף הכתבה "יותר מ-8.7 מיליון" בזמן שהכותרת שלו אומרת 8.6. סיסמאות, לפי החברה, לא היו בקבצים. Daiichi Kosho מדגישה שהמערכות שלה עצמה לא נפרצו וכי טרם אומתה גניבה או דליפה של המידע, כלומר נכון לעכשיו אף אחד לא יודע אם הקבצים יצאו החוצה בפועל. ב-BleepingComputer מציינים שהחברה שבמחשב שלה נמצאה הנוזקה לא פרסמה הודעה משלה ולא השיבה לפנייתם.

למה זה חשוב לכם

אף קורא ישראלי כנראה אינו חבר במועדון של Big Echo, והחיבור לכאן עובר דרך משהו אחר לגמרי: המקום שבו הפרטים שלכם באמת יושבים. כשנרשמים למועדון לקוחות של רשת, לחדר כושר או לאתר קניות, הנתונים עוברים לא פעם לקבלן חיצוני שמטפל בהם עבור החברה, ואת השם שלו לא ראיתם מעולם. זה מה שמכונה סיכון שרשרת אספקה: החוליה שנשברת היא לא זו שאיתה עשיתם עסק.

והנזק המעשי במקרה כזה הוא בדרך כלל לא פריצה לחשבון הבנק. הוא שיחת טלפון או הודעה שיודעת את השם המלא שלכם, את תאריך הלידה ואת העובדה שאתם לקוחות של רשת מסוימת. בדיוק הפרטים האלה הם מה שהופך הונאה טלפונית למשכנעת, ו-Daiichi Kosho עצמה הזהירה את לקוחותיה מפני פניות שמבקשות תשלומים או מידע אישי.

מה עושים?

אל תתנו לפרטים נכונים לשמש הוכחה. מי שמתקשר ויודע את תאריך הלידה שלכם לא הוכיח בכך שהוא מהבנק או מהרשת. נתקו, והתקשרו חזרה למספר שמופיע באתר הרשמי או בגב הכרטיס.

קוד שמגיע ב-SMS לא נמסר לאף אחד בטלפון, גם למי שמציג את עצמו כנציג אבטחה. הקוד הזה הוא השער האחרון, וברגע שהוא עובר הוא כבר לא שלכם.

בהרשמה למועדון לקוחות תנו את המינימום. לנקודות ולהנחות לא דרושים תאריך לידה מלא ומספר תעודת זהות, וכל שדה שתשאירו ריק הוא שדה שלא ידלוף.

הרשת שאיבדה את הנתונים לא איבדה אותם אצלה. השאלה "למי עוד העברתם את הפרטים שלי" שווה שתישאל לפני ההרשמה.