Loja de luxo Neiman Marcus sofre outro ataque
O varejista de luxo Neiman Marcus Group vem informando alguns clientes desde a semana passada que as suas contas on-line foram violadas por hackers.
Segundo a empresa, os cibercriminosos utilizaram um ataque automatizado de experimentar várias combinações de usuário e senha em uma tentativa de obter acesso a contas de clientes na Neiman Marcus e websites associados (Last Call, Bergdorf Goodman, Howchow e CUSP). O ataque parece ter começado em torno de 26 de dezembro.
O varejista disse que os hackers conseguiram acessar cerca de 5.200 contas, mas destacou que as combinações de "nome de usuário/senha" não foram furtados de seus sistemas. Em vez disso, a empresa acredita que os atacantes vêm utilizando credenciais furtadas de outros sistemas, sabendo que muitas pessoas usam o mesmo LOGIN e PASSWORD para vários serviços on-line.
As contas violadas contém nomes de clientes, informações de contato (endereços de correio ou números de telefone), os quatro últimos dígitos do número do cartão de pagamento utilizado e histórico de compras. Números de segurança social, datas de nascimento, números de contas bancárias completo e PINs não estão em risco, disse o Neiman Marcus Group.
Os atacantes utilizaram cerca de 70 das contas violadas para fazer compras não autorizadas em sites Neiman Marcus, mas o varejista disse que sua equipe de fraudes detectou essas ocorrências e tem reembolsado os clientes afetados.
Realmente, fica muito difícil defender qualquer sistema de usuários que utilizam os mesmos dados de LOGIN e PASSWORD em vários sistemas diferentes - alguns bem protegidos, outros sem nenhuma proteção contra invasões internas ou externas.
A questão aqui não se resume a uma falha da NMG (o que de fato não houve) mas um acesso ilegítimo feito com credenciais legítimas (diferente de 2014 quando malwares instalados em máquinas "Point-of-Sale" furtaram 1 milhão de dados de cartões de crédito da mesma companhia).
Portanto, se você usa sistemas online para compras ou outros fins, lembre-se do básico: não utilize os mesmos dados de LOGIN e SENHA para todos. Procure certificar-se que, caso um deles seja invadido (até mesmo por um funcionário autorizado na manutenção do cadastro!), os outros não sejam afetados, já que os dados são exclusivos de cada sistema.
E uma dica: não basta acrescentar um dígito ao final de seus dados - esta medida é muito conhecida e utilizada por milhões de pessoas em todo o mundo.
