Vazamento de dados de Disk Union

Entre os tipos de dados verificados estão endereços de e-mail, nomes completos, dados de localização, como endereços físicos ou códigos postais, informações de telefone e fax, números de cadastro ou identificadores de usuário e senhas de acesso. No índice independente de vazamentos, as categorias de dados listadas são endereços de e-mail, localizações geográficas, nomes, senhas, números de telefone e nomes de usuário. O comunicado da empresa também mencionou números de cadastro e informações de endereço dos clientes cadastrados nas lojas online. Por isso, o vazamento de dados da Disk Union não se resume a uma lista de e-mails: trata-se de um incidente de maior risco envolvendo contas de clientes, que reúne informações de contato, identidade e acesso.

As senhas em texto simples são a parte mais grave deste incidente. A exposição de uma senha diretamente legível, em vez de seu hash, facilita as tentativas de usar a mesma combinação de e-mail e senha em outros serviços. Campos como nome, endereço e número de telefone também ampliam o contexto disponível para os invasores; mensagens falsas sobre envio, pedidos, verificação de cadastro, reembolsos ou atendimento ao cliente podem parecer mais reais. Identificadores como números de cadastro não são informações financeiras por si só, mas podem ser usados indevidamente para dar a impressão de que uma mensagem se refere de forma confiável a uma conta.

O escopo verificado do incidente se limita às lojas online diskunion.net e audiounion.jp, operadas pela Disk Union. Na fase inicial, um possível vazamento foi identificado em 24 de junho de 2022, após uma notificação de terceiros; as lojas online foram suspensas no mesmo dia. A autoridade japonesa de proteção de informações pessoais foi notificada em 27 de junho de 2022, e as autoridades policiais, em 28 de junho de 2022. O incidente, anunciado publicamente em 29 de junho de 2022, foi esclarecido em 10 de agosto de 2022, com a confirmação do vazamento após uma investigação externa. Essa cronologia indica que a data do vazamento registrada como junho de 2022 está relacionada ao período de descoberta e resposta.

É importante não ampliar o escopo. Os aproximadamente 701.000 registros de clientes representam o limite de impacto anunciado pela empresa; os aproximadamente 690.667 e-mails únicos representam a quantidade de e-mails únicos indexados. Esses dois números não medem a mesma coisa. Os dados de cartão de crédito não foram incluídos neste registro porque, segundo o que foi informado, a empresa não os armazena. Também não há informações verificadas sobre a saída de dados referentes ao histórico de compras ou de pagamentos. A causa do incidente foi descrita como uma vulnerabilidade de segurança encontrada em um servidor associado aos sistemas das lojas online. O acesso em questão foi bloqueado, e as lojas permaneceram fechadas até a conclusão das medidas de segurança.

O grupo de maior risco é formado por clientes que se cadastraram nas lojas online da Disk Union ou da Audio Union antes de 2022 ou durante o período do incidente. O risco aumenta significativamente para quem usa o mesmo e-mail e a mesma senha em diferentes sites de compras, contas de e-mail, redes sociais ou serviços vinculados a pagamentos. Quando uma senha em texto simples está disponível, o invasor não precisa decifrá-la; pode bastar testar as mesmas informações em outros formulários de acesso. Por isso, você deve revisar não apenas a conta da Disk Union, mas todas as contas em que usa a mesma senha.

Colecionadores que fazem pedidos de fora do Japão, clientes que compram discos e acervos musicais, pessoas que mantêm o mesmo cadastro há muito tempo e clientes cujas contas ainda estão associadas a endereços de e-mail antigos também correm risco. Como endereços, números de telefone e identificadores de cadastro foram vazados, as mensagens direcionadas podem ir além do phishing genérico; elas podem tratar de status de pedidos, avisos de estoque, atualização de cadastro ou recuperação de conta. Essas mensagens podem parecer fundamentadas em um histórico real com a marca, na existência de um vínculo de cadastro e nas informações de contato da pessoa.

Você deve alterar imediatamente a senha usada na loja online da Disk Union ou da Audio Union. Se usou a mesma senha em outras contas, também deve definir senhas diferentes e fortes para elas. Um gerenciador de senhas facilita a criação de senhas únicas para cada serviço e ajuda a evitar a reutilização de senhas antigas. Priorize a verificação de contas de e-mail, sites de compras e serviços vinculados a pagamentos, pois a combinação de endereço de e-mail e senha é o primeiro alvo de tentativas dos invasores. Ative a autenticação de dois fatores sempre que possível.

Examine com atenção alertas de acesso suspeito, mensagens de redefinição de senha, notificações inesperadas de pedidos e solicitações falsas de atendimento ao cliente. Não aja precipitadamente ao receber mensagens associadas ao nome Disk Union. Para realizar operações na conta, digite o endereço diretamente no navegador. Como os dados também incluem endereço pessoal e telefone, avalie separadamente pedidos de verificação feitos por telefone ou solicitações de informações sob o pretexto de taxas de entrega ou formulários de devolução. Embora, segundo o que foi informado, os dados de cartão de crédito estejam fora do escopo deste incidente, continue monitorando atividades de pagamento suspeitas como parte dos cuidados gerais de segurança.

O vazamento de dados da Disk Union mostra que senhas usadas em cadastros antigos podem continuar representando um risco por muito tempo. Verifique regularmente onde você usou a mesma senha, encerre contas que não utiliza mais e adote métodos de autenticação fortes nas contas importantes. Proteja especialmente suas contas de e-mail, pois os links de redefinição de senha costumam chegar por esse canal. Se um invasor obtiver acesso à conta de e-mail, pode ocorrer uma sequência mais ampla de tomadas de controle de contas, não limitada à Disk Union.

Para as empresas, este incidente evidencia o grande risco de armazenar senhas em texto simples nos sistemas de lojas online. As senhas devem ser protegidas com métodos robustos, unidirecionais e atualizados; os prazos de retenção desnecessária de dados pessoais devem ser reduzidos; e o acesso a campos como números de cadastro, endereços e números de telefone deve ser limitado por autorizações em camadas. Avaliações regulares de vulnerabilidades, monitoramento de registros de log, detecção precoce de atividades incomuns de exportação e testes dos planos de resposta a incidentes reduzem o impacto de vazamentos semelhantes de dados de clientes.

A correspondência apresentada neste registro indica que seu endereço de e-mail pode estar associado aos campos de e-mails únicos no conjunto de dados do vazamento da Disk Union. Uma correspondência não significa necessariamente que todas as suas informações de cliente tenham sido comprometidas; ainda assim, você deve levá-la a sério, pois o incidente envolve senhas em texto simples, informações de contato e identificadores de cadastro. A prioridade é alterar as senhas das contas que usam a mesma senha e proteger melhor sua conta de e-mail. Mesmo que a senha antiga continue ativa em apenas um serviço, ela pode representar um risco em tentativas automatizadas de acesso anos depois.

Se você tem uma conta da Disk Union ou da Audio Union, verifique o histórico da conta e o endereço de contato, e procure sinais de sessões ou transações que não reconheça. Depois de alterar a senha, não volte a usá-la em nenhum serviço. Desconfie de mensagens que parecem pessoais por incluírem informações de telefone, endereço e cadastro; inicie os contatos legítimos com o atendimento ao cliente diretamente pelo site oficial. O objetivo deste registro é dar visibilidade ao incidente sem exagerá-lo, restringir os campos de dados aos que foram verificados e oferecer a você medidas práticas de segurança da conta.