Domino's India Vazamento de dados

Os tipos de dados cuja exposição foi confirmada são endereços de e-mail, nomes, números de telefone, endereços físicos de entrega, dados de GPS ou localização geográfica e históricos de compras. Os registros de pedidos podiam incluir detalhes contextuais, como produtos, horário do pedido, valor gasto, indicação do método de pagamento e local de entrega, permitindo que um único registro revelasse pistas úteis sobre a rotina e a localização de uma pessoa. O número 22.527.655 representa endereços de e-mail únicos; as cerca de 180 milhões de linhas de registros de pedidos relacionadas ao incidente são uma medida diferente e não devem ser apresentadas como o número de pessoas afetadas. Não se deve presumir que todos os campos estejam presentes para todos os clientes. Não foi confirmada a exposição de senhas, números completos de cartões de pagamento ou dados de contas financeiras. A empresa afirmou que não armazenava dados de cartões ou informações financeiras dos clientes em seus sistemas e que, portanto, esses dados não foram comprometidos neste incidente.

A Jubilant FoodWorks, operadora da marca Domino's India, informou aos clientes que o acesso não autorizado ocorreu em 24 de março de 2021. Em abril, um agente ofereceu à venda, em um fórum criminoso, o que alegava ser cerca de 13 TB de dados de clientes, pedidos e da empresa; em maio, surgiu um serviço na dark web que permitia buscas por número de telefone ou endereço de e-mail. Verificações independentes encontraram dados autênticos de clientes e pedidos nesses resultados. A empresa afirmou que as operações não haviam sido afetadas, que especialistas estavam investigando o caso e que medidas de contenção haviam sido adotadas. A alegação do agente sobre dados de cartões não foi corroborada de forma confiável e foi rejeitada pela empresa. Por isso, este registro se limita aos campos de clientes e pedidos cuja exposição foi corroborada, e as alegações mais amplas do agente sobre volume ou conteúdo não são apresentadas como fatos comprovados.

O risco é mais evidente para quem fez pedidos pelo site ou pelos canais móveis da Domino's India antes do incidente de 2021. A combinação de um endereço de e-mail e um número de telefone com nome, endereço de entrega e pedidos anteriores pode tornar o phishing muito convincente quando ele imita uma atualização sobre uma entrega, um reembolso, um cupom, uma oferta de fidelidade ou um problema de pagamento. Endereços de entrega e dados de GPS fornecem contexto sensível sobre uma residência ou um local de trabalho; horários e locais recorrentes de pedidos também podem revelar rotinas. O histórico de compras, por si só, não dá acesso a uma conta financeira, mas pode expor preferências, padrões de gastos e momentos oportunos para aplicar um golpe. Este registro se refere ao incidente do dominos.co.in, na Índia. O vazamento de 2014 que afetou clientes europeus do pizza.dominos.be envolve outro domínio, outra data e outro conjunto de dados; portanto, o fato de compartilharem a mesma marca não torna os registros duplicados.

Se você encontrar uma correspondência, revise o nome, o número de telefone, o endereço de e-mail e os endereços de entrega salvos na conta da Domino's India, removendo endereços antigos e contas sem uso sempre que possível. Mensagens que afirmem ser da Domino's, de uma transportadora, de um provedor de pagamentos ou de uma equipe de promoções devem ser verificadas pelo aplicativo que você já conhece ou pelo site oficial, em vez de por um link recebido. Trate como suspeitas as cobranças inesperadas de taxas de entrega, os reembolsos, as ativações de cupons e as solicitações de verificação de conta, especialmente quando criarem um senso de urgência. Se você usa a mesma senha em outros serviços, substitua-a imediatamente por uma senha exclusiva e ative a autenticação multifator onde estiver disponível. Essa é uma precaução, pois o e-mail exposto e o contexto pessoal podem facilitar ataques aos mecanismos de recuperação de contas, não uma evidência de que senhas foram obtidas. Você ainda pode monitorar a atividade do cartão para identificar transações desconhecidas, mas o escopo confirmado não inclui números de cartões e não deve ser descrito como um vazamento comprovado de dados financeiros.

Endereços de e-mail e números de telefone podem mudar, mas locais de entregas anteriores, dados geográficos e hábitos de compra podem continuar sendo úteis por anos a golpistas que visam pessoas específicas. Remova regularmente endereços antigos de contas de serviços de entrega de comida e compras, encerre contas que você não usa mais e revise as preferências de notificação para facilitar a distinção entre mensagens legítimas sobre transações, mensagens de marketing e fraudes. Quando a recuperação de conta depender de um número de telefone, considere um PIN adicional junto à operadora ou uma proteção contra trocas não autorizadas de SIM. Os provedores de serviços podem reduzir a exposição duradoura limitando a retenção de dados de clientes, separando registros de pedidos antigos, exigindo autenticação forte de administradores, monitorando consultas incomuns ao banco de dados e restringindo exportações em massa. Endereços de entrega e dados de localização precisa devem ser mantidos apenas pelo tempo necessário, enquanto os relatos de incidentes devem distinguir claramente o número de pessoas ou identificadores únicos do volume de linhas de registros de transações.

Uma correspondência indica que o endereço de e-mail pesquisado pode ser um dos endereços únicos encontrados no vazamento da Domino's India; por si só, ela não comprova que todos os pedidos ou todos os campos listados para essa pessoa foram expostos. Verifique se o endereço correspondente foi usado para pedidos da Domino's India antes de 2021 e, em seguida, examine com atenção as mensagens sobre entregas, cupons, reembolsos e pagamentos enviadas a esse e-mail ou ao número de telefone associado. Interprete 22.527.655 como a contagem de endereços de e-mail únicos e mantenha as cerca de 180 milhões de linhas de registros de pedidos como uma medida separada de volume. Não presuma que houve um vazamento de senhas ou números de cartões, mas reconheça que o endereço de entrega, a localização e o histórico de compras podem tornar a engenharia social especialmente convincente. Se uma mensagem solicitar um código de autenticação, uma senha ou um dado de pagamento, interrompa a interação e abra o aplicativo oficial por conta própria. Comunique e documente qualquer alteração não autorizada na conta pelo canal de suporte verificado do serviço.