15 etapas a serem seguidas se você foi afetado pela violação de dados da Capital One

Segundo a CNN, a violação do Capital One afetou mais de 105 milhões de consumidores norte-americanos que solicitaram produtos de crédito Capital One entre 2005 e início de 2019.

O suposto autor, um engenheiro de software da área de Seattle, invadiu os sistemas da Capital One através de um firewall mal configurado. Ela acessou uma grande quantidade de dados do consumidor, incluindo detalhes de contato, pontuação de crédito, limites de gastos, saldos de conta, informações de seguro social e números de contas bancárias. Ela então postou essas informações no GitHub e se gabou da exploração nas mídias sociais e no Slack, fazendo pouco esforço para esconder sua identidade. Um usuário preocupado do GitHub notificou a Capital One, que notificou o FBI, e o suspeito foi preso dentro de dias.

O descuido do suposto agressor sem dúvida acelerou a divulgação pública da violação. Muitas violações de dados passam despercebidas por meses ou anos, e autores fora do alcance das autoridades policiais dos EUA podem escapar da justiça indefinidamente.

Independentemente das circunstâncias, se você é uma vítima potencial de uma violação de dados corporativos, deve agir rapidamente. As informações pessoais roubadas podem ser usadas no roubo de identidade, o que pode ser surpreendentemente difícil de detectar, principalmente para idosos, crianças menores e adultos com controle limitado sobre seus dados e finanças pessoais..

Se seus dados fizerem parte de uma violação corporativa, talvez você não seja necessariamente vítima de roubo de identidade. Mas isso aumenta significativamente suas chances, especialmente se você não tomar uma ação decisiva logo após saber da violação.

O que fazer quando você faz parte de uma violação de dados (ou suspeita que seja)

Se você tiver motivos para acreditar que seus dados estavam envolvidos em uma violação de dados corporativos, como a Capital One, veja o que você pode fazer para reduzir o risco.

1. Determine se você é realmente afetado

Às vezes, a organização afetada configura um site dedicado ou linha direta para os membros do público verificarem seu status. Depois de divulgar sua violação de 2017, a Equifax fez as duas coisas. Você ainda pode usar o site para verificar sua exposição.

Outras vezes, a organização afetada notifica diretamente as vítimas. De acordo com a CNBC, a Capital One prometeu notificar as vítimas através de vários canais, provavelmente incluindo e-mails e mensagens internas seguras na conta.

Você também pode usar a linha do tempo e a geografia publicamente conhecidas da violação para determinar sua exposição. Por exemplo, a violação do Capital One incluiu dados de praticamente todos os que solicitaram crédito entre 2005 e o início de 2019. Você provavelmente sabe de antemão se isso significa que você.

2. Determinar a extensão do compromisso

Isso pode ser mais complicado do que determinar sua exposição. Por exemplo, os dados roubados na violação do Capital One parecem se enquadrar em três grupos principais:

• Dados normalmente incluídos em aplicativos de cartão de crédito, como nomes, datas de nascimento, endereços residenciais e renda autorreferida
• Dados do seguro social - Números de Seguro Social de clientes dos EUA e números de Seguro Social de clientes do Canadá.
• Dados do cartão de crédito, incluindo histórico de pagamento, limites de crédito, pontuações de crédito e saldos de contas, mas aparentemente não os números dos cartões de crédito

O suposto agressor acessou dados de aplicativos de cartão de crédito de praticamente todos os consumidores afetados pela violação. Ela acessou as informações de seguro social de um número menor de vítimas - cerca de 1 milhão, principalmente canadense - e só conseguiu obter dados fragmentados de transações a partir de 23 dias em 2016, 2017 e 2018.

Em outras palavras, se você solicitou um produto de crédito Capital One entre 2005 e início de 2019, pode assumir que os dados de seu aplicativo foram comprometidos. Mas, a menos que você tenha um cartão de crédito Capital One ativo de 2016 a 2018, seus dados de transação provavelmente estarão seguros.

Para ter certeza, entre em contato com a organização afetada por meio de canais aprovados, como o site de busca de violações da Equifax. Embora você sempre possa ligar para a linha direta de atendimento ao cliente da organização ou usar sua função de bate-papo on-line, o mesmo acontece com qualquer outra pessoa. E na sequência de uma grande violação, mesmo as equipes de suporte de grandes organizações provavelmente ficarão sobrecarregadas com consultas.

Como alternativa, aguarde a organização afetada entrar em contato diretamente com você enquanto trabalha no restante desta lista. Não interprete o silêncio contínuo para dizer que você está livre; a organização pode levar algum tempo para determinar com precisão quem é afetado e como.

3. Preste atenção às comunicações oficiais da organização comprometida

Se a organização comprometida se comprometer a notificar os clientes afetados pela violação, descubra com precisão como e quando eles o farão. Como é menos vulnerável a compromissos do que o email e menos propenso a abusos do que telefonemas, o correio tradicional continua sendo um meio popular de notificação de violação. As instituições financeiras também podem usar mensagens internas seguras da conta para notificar os clientes.

Não confie nos intermediários, a menos que a empresa comprometida diga que não há problema em fazê-lo. Não fale com ninguém que tente entrar em contato com você fora de um meio de divulgação aprovado. Se a organização promete notificar as vítimas por correio tradicional e alguém ligar para você alegando representá-las, assuma que é uma farsa e desligue..

Se e quando você receber comunicações oficiais da organização afetada, preste muita atenção a elas e siga as instruções que receber. Por exemplo, após uma violação que compromete os dados do cartão de pagamento, as instituições financeiras geralmente reemitem os cartões com novos números. Preste atenção no seu e-mail e ative-o imediatamente.

As instruções oficiais da organização comprometida podem se sobrepor a alguns ou a todos os itens de ação desta lista - mais um motivo para levá-los a sério.

4. Altere as senhas de qualquer conta afetada

Altere a senha de qualquer conta digital que você conheça ou suspeite estar comprometida na violação. Se você usar a mesma senha comprometida em outras contas não afetadas pela violação, altere as senhas também. Avançando, evite reutilizar senhas, use um gerenciador de armazenamento de senhas seguro, como 1password, e aproveite a oportunidade para revisar essas dicas para proteger suas informações pessoais on-line.

5. Definir alertas de atividade

Se você souber ou suspeitar que a violação comprometeu suas informações financeiras, como cartão de pagamento ou números de contas bancárias, defina alertas de atividades nessas contas para monitorar o uso não autorizado. No mínimo, esses alertas devem cobrir tentativas de retirada e transações no ponto de venda, bem como tentativas de acessar suas contas online.

Lembre-se de que os hackers não precisam invadir o mainframe do seu banco para obter as informações do cartão de pagamento. Mais de 100 milhões de compradores-alvo perderam as informações do cartão de pagamento na violação de dados do varejista em 2013, por exemplo - uma violação que não afetou diretamente nenhuma instituição financeira.

6. Solicitar novos números de cartão de pagamento

As empresas de serviços financeiros geralmente distribuem novos cartões de pagamento quando seus clientes são afetados por violações. Porém, se os dados do seu cartão estiverem envolvidos em uma violação de terceiros, como o incidente de destino, talvez você precise ser proativo.

Ligue para o número na parte de trás do cartão e diga ao representante que você acredita que sua conta foi comprometida. Você pode precisar explicar o cenário e responder a algumas perguntas básicas, como "A carta já ficou fora de seu poder?" Seja sincero, mas não explique demais. O banco ou o emissor do cartão não deseja ficar atento a transações não autorizadas; portanto, é provável que você cancele e reemita seu cartão com pushback limitado. Na maioria dos casos, você precisará esperar para usar o novo número até que o cartão físico chegue pelo correio.

7. Inscreva-se em um serviço gratuito de monitoramento de crédito ou proteção contra roubo de identidade

É prática padrão para as organizações afetadas por violações de dados oferecer aos clientes inscrição gratuita por tempo limitado nos serviços de monitoramento de crédito ou proteção contra roubo de identidade. Os períodos de inscrição geralmente duram pelo menos um ano, sem obrigação de se inscrever novamente a preços de assinatura. Alguns duram mais; A Equifax ofereceu aos clientes afetados por sua violação de 2017 até 10 anos de monitoramento de crédito gratuito.

Como a inscrição nesses serviços é gratuita e você não é obrigado a pagar quando o período gratuito termina, há pouca desvantagem em aceitar uma oferta da organização. É o mínimo que eles podem fazer.

8. Coloque alertas de fraude

Coloque um alerta de fraude em cada um dos três principais departamentos de relatórios de crédito: Experian, Equifax e TransUnion. Por lei, uma agência de relatórios de crédito deve entrar em contato com as outras duas quando receber uma solicitação de alerta de fraude, portanto, tecnicamente, você só precisa colocar um alerta em uma agência para garantir a proteção para as três. Se você não confiar no processo, poderá entrar em contato com cada agência individualmente..

Enquanto seu alerta de fraude permanecer em vigor, os credores em potencial deverão verificar sua identidade antes de abrir novas linhas de crédito em seu nome. Quando alguém recebe seu crédito ou tenta abrir uma nova linha de crédito em seu nome, você recebe automaticamente um alerta. Isso torna muito mais difícil para os ladrões de identidade explorarem seu bom crédito e acumularem dívidas sem o seu conhecimento.

Os alertas de fraude são livres para instituir e manter. Eles duram um ano e você pode renová-los ao final de cada período.

9. Reivindique seus relatórios de crédito grátis

É algo que você deve fazer de qualquer maneira, independentemente de estar envolvido em uma violação de dados. Por lei, você tem direito a um relatório de crédito gratuito por ano de cada um dos três principais departamentos de relatórios de crédito. Você pode obter o seu em AnnualCreditReport.com. Considere gerar um relatório por trimestre para monitorar seu crédito ao longo do ano, em vez de extrair os três relatórios de uma só vez.

Analise o seu relatório quanto a quedas repentinas ou inexplicáveis ​​de pontuação de crédito e outras evidências de possível roubo de identidade, como o aparecimento de uma nova linha de crédito que você não abriu.

10. Considere se inscrever para monitoramento ou proteção em andamento

Depois de tirar o máximo proveito de qualquer associação ou teste gratuito oferecido pela organização comprometida, avalie os prós e os contras de pagar pelo monitoramento contínuo do crédito ou pela proteção contra roubo de identidade.

Se você simplesmente deseja acompanhar sua pontuação de crédito, um serviço gratuito de monitoramento de crédito, como Gergelim de crédito pode ser tudo que você precisa. Para uma proteção mais robusta e abrangente contra roubo de identidade, considere um serviço pago, como IdentityGuard, que vem com recursos que os serviços gratuitos não oferecem, como relatórios detalhados de gerenciamento de riscos, ferramentas para navegação mais segura na Web e varredura na Web escura.

11. Considere usar um serviço de digitalização na Web escura

Há uma boa chance de que suas informações estejam em algum lugar da dark web. A questão é: o que está sendo feito com isso?

Embora uma verificação na Web escura não seja abrangente, pode revelar se algum dos seus dados pessoais caiu em mãos erradas ou está em risco de fazê-lo. Você não precisa pagar por esse conhecimento; O Experian oferece, por exemplo, uma varredura gratuita na web, única e escura. Alguns especialistas questionam o valor de uma verificação na Web escura, mas é quase certamente melhor do que nada, especialmente quando você não precisa pagar por isso.

12. Informar prontamente a atividade suspeita da conta

Lembre-se: não é por causa da violação de dados que você precisa se preocupar; é o que acontece a seguir. Muitas vezes, essa é uma série de esforços conjuntos para roubar sua identidade. Por exemplo, os cibercriminosos que obtiveram as mãos nos endereços de e-mail dos clientes podem representar a organização comprometida em e-mails sofisticados de phishing, solicitando números de conta ou credenciais de login. Ou eles podem enviar links maliciosos que infectam seu computador com malware.

Relate toda e qualquer tentativa de comprometer ainda mais seus dados ou finanças à organização afetada. Às vezes, as empresas criam canais dedicados para denunciar abusos após grandes violações. A Capital One criou imediatamente o endereço de email [email protected].

Da mesma forma, se você descobrir alguma atividade suspeita por meio de um serviço de monitoramento de crédito, no seu relatório de crédito, de um alerta de fraude da agência de crédito ou revisando o extrato do seu cartão de crédito, relate-o imediatamente ao seu banco ou emissor do cartão de crédito. Se a atividade suspeita envolver um cartão de crédito, o emissor deverá imediatamente cancelar e reemitir o cartão.

Bancos e cooperativas de crédito geralmente têm políticas de fraude de responsabilidade zero que revertem ou reembolsam transações de débito não autorizadas. Mas você pode ficar atento a uma parte das cobranças - até US $ 500 - se esperar mais de dois dias úteis para notificar seu banco. O Departamento de Proteção Financeira do Consumidor tem uma descrição mais detalhada dos seus direitos nos termos da lei.

Para ficar claro, você não precisa esperar pelas notícias de uma violação de dados para denunciar atividades suspeitas em suas contas. Cobranças não autorizadas da conta, comunicações incompletas de pessoas que podem ou não estar associadas à sua instituição financeira e outros possíveis casos de atividades fraudulentas sempre justificam a denúncia. Mas você deve estar especialmente vigilante após uma violação de dados divulgada.

13. Congele seu relatório de crédito

Se você não planeja solicitar crédito em breve, considere congelá-lo em cada um dos três principais departamentos de relatórios de crédito. Como alertas de fraude, os congelamentos de crédito podem ser aplicados e suspensos gratuitamente. No entanto, os departamentos não precisam notificar um ao outro quando você congela, portanto, é necessário entrar em contato diretamente com cada um deles.

Enquanto seu crédito estiver congelado, os credores não poderão receber seu relatório de crédito. Isso significa que você não pode abrir novas contas de cartão de crédito, solicitar uma hipoteca ou fazer um empréstimo pessoal - nem os ladrões de identidade.

A Federal Trade Commission tem mais informações sobre como funcionam os congelamentos de crédito e como eles diferem dos bloqueios de crédito, que podem gerar taxas mensais.

14. Preste atenção nos sinais de que sua identidade foi roubada

O risco de roubo de identidade aumenta drasticamente após uma violação de dados. De acordo com IdentityGuard, quase uma em cada cinco vítimas de violação de dados notificadas sofre roubo de identidade.

Aprenda a identificar possíveis sinais de roubo de identidade, como:

• Contas por serviços que você nunca solicitou
• Ser recusado ou cobrado mais pelo seguro de saúde devido a condições que você não possui
• Reclamações de seguros rejeitadas devido a reclamações recentes que você não fez
• Não mais recebendo contas importantes
• Notificações inesperadas de mudança de endereço de credores ou beneficiários
• Levantamentos inesperados de contas bancárias ou cobranças de cartão de crédito
• Notificação do IRS de que mais de uma declaração de imposto foi registrada em seu nome no ano fiscal mais recente
• Alertas de autenticação de dois fatores (como códigos numéricos enviados por SMS) que você não solicitou
• Pedidos de crédito rejeitados devido a crédito insuficiente

Se você detectar algum desses sinais, eis o que fazer se suspeitar que foi vítima de roubo de identidade.

15. Reivindique sua parte de qualquer acordo de violação

Os termos do acordo de violação da Equifax exigiam que a agência fornecesse até 10 anos de monitoramento gratuito de crédito ou US $ 125 em dinheiro aos clientes com cobertura de monitoramento de crédito existente. Isso pode não ser suficiente para enriquecer alguém, mas, no entanto, é um bom gesto.

Se uma violação de dados levar a uma ação coletiva, você poderá ter direito a danos como parte dessa classe. Os alunos elegíveis geralmente recebem, mas nem sempre, notificações por correio oficiais sobre sua elegibilidade. Aqueles que ingressam na ação estão sujeitos aos termos do eventual acordo, enquanto aqueles que optam por sair são livres para buscar outros recursos legais. Se você acha que pode estar em uma classe para a qual não recebeu uma notificação oficial, verifique um recurso de terceiros gratuito, como Ação do Consumidor.

Palavra final

Em um ciclo de notícias acelerado pelas mídias sociais e notificações push, acompanhar os eventos atuais é uma tarefa esmagadora. Mas algumas das histórias mais recentes que atravessam sua mesa virtual hoje podem afetar suas finanças pessoais ou bem-estar amanhã.

Vale a pena dedicar alguns minutos do seu tempo para prestar atenção a relatórios de uma grande violação de dados. Se você teve alguma associação com a organização comprometida, por mais tênue que seja, provavelmente será afetado.

Se for esse o caso, tome medidas para mitigar os danos. Montar uma resposta eficaz a uma violação de dados corporativos é principalmente uma questão de diligência e vigilância, e vale a pena dedicar tempo para garantir que suas informações sejam protegidas.

Você já esteve envolvido em uma violação de dados? Como você respondeu?