Data urodzenia w sklepie internetowym? Lepiej jej nie podawaj

Oszuści dzwonią, podają Twoje imię, nazwisko, adres i datę urodzenia, a Ty nabierasz przekonania, że rozmawiasz z pracownikiem banku. Eksperci ds. cyberbezpieczeństwa ostrzegają, że to właśnie dane zostawiane bezmyślnie w formularzach rejestracyjnych pomagają przestępcom uwiarygodnić się w oczach ofiar.

Dlaczego data urodzenia jest ważna dla przestępców

Datę urodzenia wpisujemy przy zakładaniu konta w sklepie, programie lojalnościowym, zapisie na newsletter czy w konkursie. Dane te trafiają do baz firm, a gdy dochodzi do włamania, mogą wyciec. Tak było niedawno w przypadku ataku na brytyjski sklep internetowy Asos, w którym wśród skradzionych informacji znalazły się także daty urodzenia klientów.

Jake Moore, doradca firmy ESET zajmującej się cyberbezpieczeństwem, zwraca uwagę, że sama data urodzenia nie jest dla przestępców szczególnie cenna. Problem zaczyna się, gdy zestawi się ją z innymi danymi, takimi jak imię, nazwisko czy numer telefonu. Wtedy łatwiej o wyłudzenie tożsamości.

Specjaliści opisują to jako układanie puzzli. Włamanie do sklepu daje imię, nazwisko, datę urodzenia, e-mail i adres. Inne wycieki dorzucają dane logowania, numery telefonów i identyfikatory. Publiczne informacje, np. z profili społecznościowych, miejsca pracy czy o członkach rodziny, dopełniają obraz. Według Serpil Hall z firmy Datos Insights powstaje w ten sposób rozbudowany profil, dzięki któremu przestępcy mogą z dużą pewnością dopasowywać rekordy. Co ważne, wykorzystanie danych nie musi nastąpić od razu po wycieku.

Jak oszuści używają takich informacji

• Uwiarygadniają fałszywe e-maile phishingowe, które wyglądają bardziej autentycznie.
• Podszywają się pod ofiarę w rozmowach z infoliniami firm.
• Wzbudzają zaufanie w rozmowach telefonicznych, gdy udają np. pracowników banku.

Alexandre François z firmy WhoisXML API sprawdził 14 sklepów i okazało się, że osiem z nich pytało o datę urodzenia już przy rejestracji. Jego zdaniem sklepy mogą nie mieć motywacji, by to pole usuwać, bo pełna data pozwala ustalić wiek klienta, a to przydaje się w marketingu i targetowaniu reklam.

Co możesz zrobić

Przede wszystkim bądź ostrożny wobec osób, które kontaktują się z Tobą niespodziewanie, nawet jeśli znają sporo szczegółów na Twój temat. Sama znajomość Twoich danych nie dowodzi, że rozmówca jest tym, za kogo się podaje.

• Nie wypełniaj pól, które nie są obowiązkowe. Jeśli data urodzenia jest opcjonalna, zostaw ją pustą.
• Gdy pole jest wymagane, w mało ważnych serwisach możesz podać inną datę. Według François warto używać jednej, np. pierwszego dnia miesiąca urodzenia, żeby jej nie zapomnieć.
• Do zakupów online załóż osobny adres e-mail. Jeśli trafi do wycieku, możesz go porzucić i zacząć od nowa.

François podkreśla, że sklep potrzebuje jedynie danych karty płatniczej i adresu dostawy. Wyjątkiem jest sytuacja, gdy kupujesz towary z ograniczeniem wiekowym, np. noże, i trzeba potwierdzić pełnoletniość. Prawdziwą datę urodzenia i nazwisko podawaj tam, gdzie są weryfikowane w oficjalnych rejestrach: w banku, urzędzie skarbowym czy przy dokumentach.

Co to oznacza w Polsce

Opisywane mechanizmy nie są specyficzne dla Wielkiej Brytanii. Polscy klienci sklepów internetowych również często proszeni są o datę urodzenia, a oszustwa „na pracownika banku” są u nas dobrze znane. Jeśli ktoś dzwoni i powołuje się na Twoje dane, najbezpieczniej przerwać rozmowę i samodzielnie zadzwonić na numer z oficjalnej strony lub karty płatniczej.

W UE obowiązuje RODO, które opiera się na zasadzie minimalizacji danych: administrator powinien zbierać tylko te dane, które są potrzebne do celu przetwarzania. Nie oznacza to jednak, że każde dodatkowe pole w formularzu jest zakazane, dlatego warto samemu zwracać uwagę na to, co faktycznie trzeba podać.

Źródło: The Guardian – „A gift to scammers: why you should probably keep your birthday a secret”