Crunchyroll investiga una reclamació de robatori massiu de dades

Què va passar

Reuters va recollir que un grup d'atacants afirmava haver obtingut dades personals i registres de suport de Crunchyroll, plataforma de streaming d'anime propietat de Sony. La companyia va confirmar que investigava la reclamació, tot i que part de l'abast divulgat procedia de les mateixes afirmacions dels atacants, cosa que convé tractar amb cautela fins que es verifiqui.

Els sistemes d'atenció al client solen acumular converses, captures de pantalla i dades de contacte que no sempre reben el mateix nivell de protecció que les bases de dades principals, cosa que els converteix en un objectiu atractiu per a qui busca informació reutilitzable en frau posterior.

Què ensenya a una empresa amb suport al client

Quan l'atac no es confirma del tot, el dubte raonable no eximeix de reaccionar: revisar accessos al sistema de tiquets, canviar credencials dels agents de suport i comprovar registres d'exportacions massives són passos que no depenen que la reclamació es confirmi al cent per cent.

El cas també recorda que un incident en un servei de tercers, com el programari de tiquets, pot exposar dades d'una empresa encara que la seva infraestructura pròpia no hagi estat compromesa en cap moment.

Què convé revisar

Mesures que limiten el dany si el sistema de suport es veu compromès:

• Quines dades personals queden emmagatzemades a l'historial de converses de suport i durant quant de temps.
• Qui pot exportar dades massivament des de l'eina de tiquets i si aquesta acció queda registrada.
• Si els agents de suport fan servir doble factor i contrasenyes diferents d'altres sistemes interns.
• Com es comunicaria als clients una eventual confirmació d'exposició de dades.

Preguntes freqüents

Es va confirmar el robatori de dades?

Crunchyroll va dir que investigava la reclamació; part de la informació coneguda procedia de les declaracions dels mateixos atacants.

Per què és sensible un sistema de suport al client?

Perquè acumula dades de contacte i converses que serveixen per preparar frau o campanyes de pesca dirigides.

Cal esperar la confirmació per actuar?

No. Revisar accessos i credencials del sistema de suport és raonable tan bon punt sorgeix una reclamació creïble.