Domino's și-a anunțat clienții că li s-a intrat în cont, apoi a explicat a cui a fost vina

Mesajul trimis de Domino's săptămâna aceasta iese în evidență mai ales prin cât de direct este. La contul dumneavoastră a avut acces un terț neautorizat, scrie acolo, iar motivul este că parola folosită aici este una pe care o mai folosiserăți pe alt site, site care fusese deja compromis.

Se numește credential stuffing și nu cere nimănui să spargă compania. Liste de adrese și parole din scurgeri vechi sunt trecute prin unelte automate care le încearcă pe sute de pagini de autentificare, iar procentul mic care încă funcționează aparține oamenilor care au refolosit o parolă. Domino's spune că propriile sisteme nu au fost compromise și că nu păstrează date de card, deci nu s-a luat nimic financiar. A resetat conturile afectate, așa că la următoarea autentificare acei clienți trebuie să treacă prin linkul de parolă uitată, și a raportat incidentul la Information Commissioner's Office.

Vine ușor să ridici din umeri pentru un cont de pizzerie. Nu o faceți. Adresa la care primiți livrările, numărul de telefon și istoricul comenzilor stau toate acolo, iar asta este materia primă pentru un telefon convingător mai târziu, fără să mai punem la socoteală punctele de fidelitate, care se pot cheltui. Am scris despre același lucru pățit de clienții Chick-fil-A în iulie. Companiile se schimbă, mecanismul nu.

Remediul este lipsit de glorie și definitiv: o parolă diferită pentru fiecare cont, ținută într-un manager de parole și nu în cap, plus un al doilea pas activat oriunde este oferit. Verificarea de confidențialitate și conturi din Tendvane vă arată care autentificări de pe PC încă nu au niciun al doilea pas în spate.