Vazamento de dados da Dymocks em 2023

A presença de endereço de e-mail, número de telefone, nome completo e endereço físico em um mesmo registro da Dymocks facilita o contato direto com o usuário. No contexto do comércio de livros, isso permite que criminosos criem situações falsas envolvendo pedidos, promoções, envios, devoluções ou atualizações de cadastro de membros. Se a data de nascimento e as informações de gênero também estiverem incluídas, as mensagens podem parecer mais pessoais, e as respostas a perguntas de verificação pouco seguras usadas em alguns processos de recuperação de conta podem se tornar previsíveis.

Este vazamento não deve ser apresentado como um incidente de fraude direta com cartões ou de quebra de senhas, pois não foi confirmada a presença de senhas ou cartões de pagamento. No entanto, os dados de perfil e contato, por si só, também representam um risco sério de engenharia social. A combinação de endereço físico, telefone e e-mail pode ser usada em mensagens direcionadas ao usuário com pretextos como entrega em domicílio, pontos de fidelidade, pedidos de livros ou taxas de envio. Portanto, um registro da Dymocks deve ser considerado um risco persistente para os dados pessoais, mesmo que não inclua dados financeiros.

O principal número verificado para medir o impacto deste registro é de 836.120 endereços de e-mail únicos. O total de registros de contato de clientes foi informado como aproximadamente 1,24 milhão. Entende-se que o conjunto de dados abrange registros até junho de 2023, que a empresa percebeu o incidente em setembro de 2023 e que foi confirmada a circulação de registros de clientes em ambientes da dark web. Por isso, a data do incidente e a data do anúncio público devem ser tratadas separadamente.

As categorias de dados verificadas são data de nascimento, e-mail, gênero, nome, telefone e endereço físico. Algumas notificações aos clientes mencionam detalhes de participação em programas da loja, como a situação do cadastro ou o nível do cartão de membro; no entanto, neste registro, as principais categorias de dados devem continuar sendo os campos de contato pessoal e dados demográficos. Senhas, cartões de pagamento, passaportes, carteiras de habilitação, números de identificação e histórico de transações não devem ser incluídos no escopo verificado deste registro. Esse limite permite descrever o risco com precisão, sem causar pânico desnecessário ao usuário.

O grupo de maior risco inclui quem tem uma conta de cliente da Dymocks e compartilhou seu telefone e endereço reais para fazer pedidos de livros, participar de programas de fidelidade ou receber comunicações da loja. Esses usuários podem ser alvo de mensagens falsas sobre campanhas de livros, taxas de entrega, confirmação de devolução, pontos de fidelidade ou atualização de conta. Usuários cuja data de nascimento consta nos dados devem ter cuidado redobrado com mensagens de phishing que usam descontos de aniversário ou benefícios para membros como tema.

Clientes na Austrália e em mercados próximos podem ser alvo de mensagens que usam a linguagem local das lojas, dos serviços de entrega e dos programas de fidelidade. Para quem usa o mesmo endereço de e-mail em outras contas de varejo, o risco está na associação entre diferentes contas de compras. Usuários cadastrados com um endereço de e-mail corporativo também podem ser alvo de faturas falsas, convites para eventos ou mensagens sobre compras corporativas. Como foram vazados dados difíceis de alterar, como endereço e telefone, o risco não se limita ao período em que o incidente foi anunciado.

Se seu endereço de e-mail constar no registro da Dymocks, examine com atenção as mensagens na sua caixa de entrada sobre pedidos de livros, envios, pontos de fidelidade, devoluções ou verificação de conta. Em vez de clicar no link da mensagem, acesse sua conta diretamente pelo navegador ou pelo aplicativo oficial. Embora não tenha sido confirmado um vazamento de senhas neste registro, se você usava senhas fracas ou reutilizadas no mesmo período, atualizar as senhas das suas contas importantes de compras e e-mail é uma boa precaução.

Tenha cuidado com solicitações recebidas por mensagem de texto, ligação ou correspondência, pois seu número de telefone e endereço físico podem ter sido vazados. Não atenda a mensagens que solicitem pagamento sob o pretexto de taxas de envio, confirmação de entrega, cartões-presente ou pontos de fidelidade sem verificar sua autenticidade. Verifique se há sessões desconhecidas e regras de encaminhamento na sua conta de e-mail. Se outras contas de varejo cadastradas com o mesmo endereço de e-mail oferecerem autenticação de dois fatores, ative-a.

O incidente da Dymocks mostra que empresas do varejo precisam revisar regularmente por quanto tempo mantêm dados pessoais duradouros, como data de nascimento, gênero e endereço, e para qual finalidade. As organizações devem reduzir a coleta desnecessária de dados, limitar a retenção de registros de clientes antigos ou inativos por meio de políticas de retenção e auditar regularmente parceiros externos que trabalham com dados. A ausência de senhas entre os dados pessoais não elimina a necessidade de minimização de dados e controle de acesso.

Para o usuário, a estratégia de longo prazo é evitar preencher campos de perfil desnecessários em contas de varejo e usar endereços de e-mail separados para diferentes finalidades. Não é possível recuperar o sigilo de informações permanentes, como endereços físicos e números de telefone, depois de um vazamento; por isso, é importante não compartilhar esses dados em formulários de campanhas e programas de membros pouco confiáveis. Usuários corporativos devem evitar abrir contas pessoais em lojas com seus e-mails profissionais e também avaliar o risco de phishing nas mensagens de compras e envios que recebem.

Se seu endereço de e-mail constar neste registro, não conclua que sua senha ou seu cartão de pagamento foi vazado; esses campos não fazem parte do escopo verificado. No entanto, seu nome, endereço de e-mail, número de telefone, endereço, data de nascimento e informações de gênero podem estar reunidos. Essa combinação é suficiente para personalizar mensagens fraudulentas. Evite links suspeitos, acesse sua conta da Dymocks diretamente e verifique solicitações de contato inesperadas pelos canais oficiais.

A medida adequada é concentrar os esforços na prevenção do uso indevido dos dados pessoais de contato. Verifique a segurança do seu e-mail, tenha cuidado com mensagens suspeitas recebidas em outras contas de varejo que usam as mesmas informações de contato e não aceite solicitações de pagamento ou verificação por telefone. O vazamento de dados da Dymocks mostra que vazamentos sem dados financeiros, mas com campos permanentes como data de nascimento, telefone e endereço, podem representar riscos de engenharia social a longo prazo.