Vazamento de dados da Neiman Marcus em 2024

O grande conjunto de dados validado incluía endereços de e-mail, nomes, números de telefone, datas de nascimento, endereços físicos, endereços IP, informações de compras e dados parciais de cartões de pagamento. Combinados, esses campos podem ajudar um invasor a dar credibilidade a uma mensagem fraudulenta. Nome, dados de contato e histórico de compras podem ser usados para imitar avisos de entrega, devolução, atendimento ao cliente ou pagamento, com um nível de detalhamento pessoal que mensagens genéricas de spam não têm.

Foi relatada a exposição de dados parciais de cartões, mas essas informações, por si só, não eram suficientes para concluir uma compra. Ainda assim, elas podem aumentar o risco de mensagens convincentes que solicitem dados da conta ou do cartão. Os comunicados oficiais aos consumidores também indicaram a exposição de números de cartões-presente sem PINs para algumas pessoas. Essa variação não significa que todas as pessoas tiveram os mesmos campos expostos; o impacto individual depende do histórico da conta e das informações armazenadas no momento do incidente.

Foi relatado acesso não autorizado no período de abril a maio de 2024, e o incidente foi identificado em maio. O número de 31.152.842 representa endereços de e-mail únicos em um conjunto de dados validado. Não se trata de uma contagem de registros de pedidos, transações de pagamento ou perfis individuais completos de clientes. Uma pessoa pode aparecer em mais de uma transação, enquanto alguns registros podem não conter nenhum endereço de e-mail.

As 64.472 pessoas que receberam notificações formais representam um grupo diferente, que não deve ser equiparado ao número de endereços de e-mail únicos. As notificações também informaram que os campos variavam de pessoa para pessoa. Por isso, as oito categorias de dados listadas aqui se limitam aos campos confirmados no grande conjunto de dados validado; não se presume que os detalhes das notificações individuais se apliquem a todos. Manter essas medidas separadas evita subestimar ou superestimar o risco.

Pessoas que fizeram compras on-line, forneceram dados de entrega ou contato ou usaram cartões-presente podem enfrentar tentativas de fraude mais convincentes. As informações de compras podem ajudar a criar mensagens que imitam comunicações sobre produtos, entregas, devoluções ou programas de fidelidade. Quando um nome está associado a um número de telefone e a um endereço físico, um invasor pode personalizar ainda mais a mensagem. Portanto, um nome de remetente conhecido, por si só, não é motivo suficiente para confiar em uma solicitação.

O risco também aumenta para quem reutilizou a mesma senha em outro serviço. Quando a conta de e-mail, um serviço de pagamento ou uma conta de loja não tem uma senha forte e exclusiva, os dados de contato expostos podem servir de ponto de partida para novas tentativas de login. Contas antigas de clientes também merecem atenção: uma conta que não é mais usada ainda pode manter dados de contato atuais ou preferências de pagamento.

Troque imediatamente as senhas reutilizadas em uma conta de loja relacionada ao incidente ou em qualquer outro serviço. Escolha uma senha longa e exclusiva para cada conta e ative a autenticação multifator. Um gerenciador de senhas reduz a chance de reutilizar uma senha. Confira também os endereços de e-mail e números de telefone usados para recuperação de conta; proteja a conta se você identificar alguma alteração que não reconheça.

Confira a atividade nas contas de cartões, bancos, cartões-presente e lojas. Entre em contato com o fornecedor responsável por um canal conhecido se você encontrar uma transação, um redirecionamento de entrega, uma alteração de endereço ou uma movimentação no saldo de um cartão-presente que não reconheça. Não acesse links em mensagens urgentes de pagamento ou verificação recebidas por e-mail, mensagem de texto ou telefone. O fato de quem liga ou envia a mensagem conhecer seus dados pessoais não comprova que a solicitação seja legítima.

Uma abordagem mais robusta para o longo prazo é usar uma senha exclusiva e autenticação multifator em cada serviço, em vez de depender apenas de trocas periódicas de senha. Proteja especialmente sua conta de e-mail principal, pois as mensagens de redefinição de senha costumam ser enviadas para ela. Sempre que possível, use um aplicativo autenticador ou uma chave de segurança física e guarde os códigos de recuperação off-line, em um local com acesso restrito.

Remova endereços antigos, preferências de pagamento e cartões-presente sem uso das contas de compras quando não forem mais necessários. Consultar regularmente relatórios de crédito, movimentações bancárias e alertas das contas pode ajudar a identificar mais cedo sinais de uso indevido da identidade. Não avalie uma mensagem apenas pelo texto ou pelo nome de exibição do remetente; acesse o site oficial por conta própria ou use um canal de suporte conhecido para verificar uma solicitação.

Consulte o endereço de e-mail na busca de vazamentos. Uma correspondência significa que esse endereço aparece no conjunto de dados validado; por si só, ela não comprova que alguém tenha assumido o controle de uma conta ativa na loja nem que tenha ocorrido uma cobrança no cartão. Ainda assim, uma correspondência é um sinal útil para revisar senhas, ativar a autenticação multifator e monitorar a atividade das contas.

Quando houver uma correspondência, priorize as contas importantes vinculadas ao mesmo endereço de e-mail: a caixa de entrada principal, os serviços de pagamento, as contas de compras e outros meios de recuperação de conta. Entre em contato imediatamente com o fornecedor responsável pelo canal oficial de suporte se você notar um login, uma alteração de endereço, um pedido ou uma consulta de crédito que não reconheça. Essas medidas reduzem a exposição atual e ajudam a identificar rapidamente usos indevidos posteriores.