Vazamento de dados de Fashion Nexus

Entre os tipos de dados verificados neste registro estão endereços de e-mail, nomes completos, números de telefone, endereços físicos, históricos de compras, datas de nascimento, informações de gênero, endereços IP, informações de user-agent do navegador e dados de senhas. Essa combinação traz riscos que vão além do simples envio de mensagens genéricas de phishing por invasores. Se uma pessoa fez compras em uma loja de moda em determinados períodos, usou um endereço de entrega específico ou compartilhou certas informações de contato, esses dados poderiam ser usados de forma convincente em situações como devoluções falsas, atualizações de entrega, promoções, cobranças de frete, verificação de conta ou cancelamento de pedidos.

O fato de os dados de senhas estarem na forma de hash não significa que a senha em texto simples fique imediatamente visível para qualquer pessoa; no entanto, MD5 e SHA-1 são considerados fracos segundo os critérios atuais de segurança. Valores MD5 sem salt são especialmente arriscados porque podem ser comparados com relativa rapidez a listas de senhas preparadas previamente. A adição de salt aos valores MD5 e SHA-1 dificulta um ataque, mas o risco permanece para senhas curtas, reutilizadas ou baseadas em palavras de dicionário. Portanto, se você usou a senha da Fashion Nexus ou de lojas associadas em outros sites, deve alterá-la em todas essas contas.

O número de contas únicas verificadas corresponde a 1.279.263 endereços de e-mail. A data do incidente está registrada como 9 de julho de 2018, e o escopo inclui vários sites de comércio eletrônico desenvolvidos pela White Room Solutions em conexão com o grupo de varejo conhecido como Fashion Nexus. Nesse contexto, Jaded London e AX Paris estão entre as marcas citadas como exemplos. Assim, você pode ter criado uma conta, feito um pedido ou compartilhado informações de entrega em lojas de moda vinculadas ao grupo, mesmo que não se lembre diretamente do nome Fashion Nexus.

Os campos verificados neste registro se limitam aos dados pessoais e de conta descritos acima. Número completo de cartão de pagamento, código de segurança do cartão, conta bancária, documento oficial de identificação e conteúdo de mensagens privadas não estão entre os campos de dados verificados neste registro. No entanto, o histórico de compras e as informações de endereço, embora não sejam dados de cartão de pagamento, podem revelar seus hábitos reais de compra, local de entrega e canais de comunicação. Por isso, o escopo deve ser avaliado mais em termos de associação de dados de identidade, segurança da conta e risco de engenharia social direcionada do que de dados financeiros de cartões.

As pessoas com maior risco são clientes que usam o mesmo e-mail e a mesma senha em lojas ligadas à rede Fashion Nexus. Se a mesma senha também for usada em uma conta de e-mail, rede social, compras, entregas, pagamentos não bancários ou trabalho, invasores podem visar outros serviços usando listas de senhas para tentativas de acesso. Devem ter cuidado redobrado, em especial, os usuários que não alteram suas senhas antigas há anos, usam uma única senha em vários sites e não têm autenticação de dois fatores na conta de e-mail.

Para clientes cujos dados incluem endereço e telefone, o risco não se limita a tentativas de acesso a contas online. Invasores podem se passar por uma transportadora, pelo atendimento ao cliente de uma loja, por um departamento de devoluções ou por uma equipe de campanhas promocionais e preparar mensagens compatíveis com as informações de compras anteriores da pessoa. Dados adicionais, como data de nascimento e gênero, também podem facilitar a descoberta de respostas a perguntas de autenticação ou a criação de mensagens que pareçam personalizadas. Se você usa as mesmas informações de contato em vários sites de moda, deve fazer as verificações necessárias, mesmo que não se lembre claramente de qual marca estava envolvida quando o incidente afetou você.

O primeiro passo é alterar imediatamente a senha usada em lojas que possam estar associadas à rede Fashion Nexus. Se você usou a mesma senha em outra conta, também deve substituí-la nessas contas por uma senha forte e exclusiva. Um gerenciador de senhas facilita a criação de senhas longas e diferentes para cada site. A proteção da conta de e-mail deve ser a prioridade, pois os links de redefinição de senha das contas de compras costumam chegar por e-mail. Se a autenticação de dois fatores não estiver habilitada na conta de e-mail, ative-a imediatamente.

O segundo passo é ter cuidado com mensagens sobre pedidos antigos, entregas e devoluções. Se uma mensagem pedir que você clique em um link, abra um anexo, faça um pagamento novamente, confirme um endereço ou informe dados de identidade, verifique sua autenticidade diretamente pelo domínio oficial da loja em questão. Mesmo que alguém que ligue para você saiba detalhes de pedidos anteriores, isso, por si só, não comprova que a pessoa seja confiável. Pedidos urgentes feitos sob o pretexto de entrega, devolução ou atendimento ao cliente devem ser verificados com calma.

Este incidente mostra que contas antigas de comércio eletrônico podem continuar representando riscos por muito tempo. Você deve encerrar regularmente as contas de compras que não usa mais, reduzir as informações de endereço e telefone armazenadas e usar senhas diferentes para cada loja. Especialmente em contas criadas há anos, pode haver senhas curtas, senhas repetidas ou endereços de e-mail aos quais você já não tem acesso. Quando essas contas são esquecidas, podem surgir riscos que só são percebidos muito tempo depois de um vazamento.

Do lado das empresas, os varejistas precisam atualizar seus métodos de armazenamento de senhas com algoritmos fortes e atuais, evitar a retenção de dados pessoais desnecessários, ser capazes de acompanhar os registros de clientes por prestador de serviços e manter uma comunicação transparente após incidentes. Abordagens antigas, como MD5 e SHA-1, não oferecem proteção suficiente, mesmo quando os dados de senhas estão na forma de hash. Se os dados de clientes circulam entre várias marcas e prestadores de serviços técnicos, os limites de responsabilidade e os ciclos de vida dos registros precisam ser gerenciados com clareza.

O endereço de e-mail incluído neste registro pode corresponder a uma conta de cliente usada na Fashion Nexus ou em uma de suas lojas de moda vinculadas. Se houver uma correspondência, você deve alterar a senha antiga, atualizar as outras contas em que usa a mesma senha e verificar o histórico de acesso da conta de e-mail. Se notar algum acesso suspeito, notificação inesperada de redefinição de senha, pedido desconhecido ou alteração de entrega, entre em contato com os canais de suporte dos serviços envolvidos.

A abordagem correta ao vazamento de dados da Fashion Nexus é não tratar o incidente apenas como um problema de um site de compras antigo. Quando e-mail, telefone, endereço, histórico de compras e dados de senhas vazam ao mesmo tempo, o risco pode reaparecer anos depois em situações de phishing, tentativas de acesso a contas e associação de dados de identidade. Você deve adotar como hábitos permanentes de segurança o uso de senhas exclusivas para cada conta, autenticação de dois fatores robusta, verificação cuidadosa de links e redução de contas antigas desnecessárias.