Vazamento de dados da ClaraHair (2023)

Em contas de comércio eletrônico como as da ClaraHair, nome, número de telefone, endereço e histórico de compras fornecem aos criminosos informações diretamente relacionadas ao cliente. Ao entrar em contato com um usuário sob o pretexto de tratar de um produto específico, pedido, devolução, taxa de envio, endereço incompleto ou verificação de pagamento, a mensagem pode parecer mais convincente. Campos como data de nascimento e número de identificação também podem ser usados como informações de verificação em interações com um falso suporte. Declarações pessoais, observações sobre pedidos ou campos de texto livre, como descrições de perfil, podem conter detalhes adicionais que o usuário escreveu sobre si e que podem estar em risco. Os campos de histórico de pagamentos e forma de pagamento não significam que haja números completos de cartões; no entanto, podem fornecer contexto sobre os hábitos de pagamento do usuário ou seu canal preferido, que poderia ser usado em fraudes.

Neste registro, as categorias de dados foram ampliadas após uma comparação de fontes. Antes, apenas os campos de e-mail, nome, telefone, endereço, compras, pagamentos e atividade no site estavam visíveis. Após verificações adicionais, os campos de data de nascimento, números de documentos oficiais de identificação e declarações pessoais também foram incluídos no escopo de risco. Por outro lado, não foram acrescentadas senhas não verificadas, números completos de contas bancárias ou números completos de cartões de pagamento. Assim, o registro não foi restringido desnecessariamente nem ampliado com alegações financeiras sem respaldo. Na tela de resultados do usuário, fica mais claro quais dados poderiam ser usados indevidamente em situações envolvendo comércio eletrônico, entregas e verificação de identidade.

Os usuários afetados devem verificar com atenção mensagens sobre campanhas, cupons, envios, devoluções, verificação de pagamentos e atualização de endereço enviadas às suas contas na ClaraHair ou em outras lojas nas quais usam o mesmo endereço de e-mail. Códigos de uso único, confirmações de identidade, links de pagamento ou solicitações de recuperação de conta recebidos por telefone ou mensagem devem ser verificados diretamente pelos canais oficiais conhecidos. Como informações permanentes, como data de nascimento e número de identificação, não podem ser alteradas, conversas com um falso suporte personalizadas com esses dados podem representar riscos por muito tempo. Os usuários devem usar uma senha exclusiva para suas contas de compras, ativar a autenticação multifator na conta de e-mail e não abrir links que direcionem para pagamentos fora do domínio cujo endereço foi digitado diretamente.

Este registro foi elevado ao nível crítico no LeakData porque dados de contato, endereço, data de nascimento, identificação, declarações pessoais, compras e contexto de pagamento estão reunidos no mesmo incidente. A descrição foi estruturada para corresponder de forma natural a buscas como vazamento de dados da ClaraHair, vazamento de dados da ClaraHair, vazamento em comércio eletrônico de produtos para cabelos, dados de clientes, risco associado ao número de identificação, vazamento de data de nascimento, segurança do histórico de pedidos e fraude envolvendo formas de pagamento. No resultado da consulta, os usuários podem ver claramente não apenas se sua conta está listada, mas também quais campos de dados representam perigo no contexto de compras e verificação de identidade.

No registro da ClaraHair, o campo de declarações pessoais foi mantido separado de propósito. Esses campos de texto livre podem incluir informações adicionais escritas pelo próprio usuário, como uma observação sobre um pedido, uma preferência de entrega, um comentário de cliente ou uma descrição de perfil. Essas informações, por si só, não constituem um identificador técnico; no entanto, quando combinadas com nome, número de telefone, endereço, data de nascimento e histórico de compras, podem ajudar um fraudador a tornar sua mensagem mais pessoal. Detalhes que aparentam corresponder a compras anteriores, solicitações de devolução ou preferências de entrega do usuário podem ser usados para conquistar sua confiança.

Neste registro, os campos de histórico de pagamentos e forma de pagamento também devem ser interpretados com cuidado. Eles não significam que haja um número completo de cartão ou uma conta bancária; no entanto, aumentam o risco de fraude porque indicam que o contexto de pagamento do usuário pode ter sido vazado. Como compras de produtos de beleza e cuidados pessoais podem estar relacionadas a preferências privadas, os usuários devem ter ainda mais cautela com mensagens que mencionem nomes de produtos, promoções ou assinaturas.