Domino's ha avvertito i clienti che il loro account era stato violato, e ha spiegato di chi era la colpa

L'email che Domino's ha inviato questa settimana colpisce soprattutto per quanto è diretta. Al vostro account ha avuto accesso un terzo non autorizzato, dice, e il motivo è che la password usata qui è la stessa che avevate già usato su un altro sito, poi finito in una fuga di dati.

Si chiama credential stuffing e non richiede a nessuno di violare l'azienda. Elenchi di indirizzi e password presi da vecchie violazioni vengono dati in pasto a strumenti automatici che li provano su centinaia di pagine di accesso, e la piccola quota che funziona ancora appartiene a chi ha riutilizzato una password. Domino's dice che i propri sistemi non sono stati compromessi e che non conserva dati delle carte, quindi nulla di finanziario è stato sottratto. Ha azzerato gli account colpiti, così al prossimo accesso quei clienti devono passare dal link della password dimenticata, e ha segnalato l'episodio all'Information Commissioner's Office.

Viene voglia di alzare le spalle davanti a un account di una pizzeria. Non fatelo. L'indirizzo a cui vi fate consegnare le cose, il numero di telefono e lo storico degli ordini sono tutti lì dentro, ed è materia prima per una telefonata credibile più avanti, senza contare che i punti fedeltà si spendono. Abbiamo raccontato la stessa cosa capitata ai clienti di Chick-fil-A a luglio. Cambiano le aziende, non il meccanismo.

Il rimedio è poco glorioso e definitivo: una password diversa per ogni account, custodita in un gestore di password invece che nella testa, e un secondo passaggio attivato ovunque venga offerto. Il controllo di privacy e account di Tendvane vi mostra quali accessi sul vostro PC non hanno ancora alcun secondo passaggio dietro.