Data urodzenia wydaje się niewinną informacją, ale oszuści chętnie wykorzystują ją do uwiarygodnienia się przed ofiarą. Eksperci od cyberbezpieczeństwa radzą więc, by przy zakupach i zapisach do newsletterów nie wpisywać jej wcale albo podawać inną niż prawdziwa.

Jak oszuści składają układankę

Typowy scenariusz wygląda tak: dzwoni ktoś, kto przedstawia się jako pracownik banku i mówi o podejrzanej aktywności na koncie. Zna twoje imię, nazwisko, adres i datę urodzenia, więc zakładasz, że rozmowa jest prawdziwa. Tymczasem to przestępcy, którzy dzięki zebranym danym zdobyli twoje zaufanie.

Daty urodzenia trafiają do baz przy rejestracji w sklepie, programie lojalnościowym, zapisie na newsletter czy udziale w konkursie. Podczas niedawnego ataku na sklep internetowy Asos wśród skradzionych informacji były także daty urodzenia klientów. Jake Moore z firmy ESET zwraca uwagę, że dane z wycieków bywają sprzedawane dalej. Służą potem do wzbudzania zaufania albo do podszywania się pod konkretne osoby.

Serpil Hall z Datos Insights opisuje, jak z tych kawałków powstaje pełny obraz. Wyciek ze sklepu daje imię, datę urodzenia, e-mail i adres. Inne wycieki dorzucają dane logowania, numery telefonów i identyfikatory. Informacje publiczne, takie jak profile w mediach społecznościowych, miejsce pracy czy krewni, dopełniają całości. Powstaje rozbudowany profil, który łatwiej dopasować do rekordów w różnych bazach. Przestępcy używają go do lepiej przygotowanych wiadomości phishingowych albo do przekonywania infolinii firm, że rozmawiają z właścicielem konta. Nie musi się to dziać zaraz po wycieku, bo dane mogą czekać na wykorzystanie.

Po co sklepowi twoja data urodzenia

Alexandre François z WhoisXML API sprawdził 14 sklepów internetowych. Osiem z nich pytało o datę urodzenia już przy zakładaniu konta. Jego zdaniem sprzedawcy nie mają motywacji, by to pole usuwać, bo pełna data podpowiada im wiek klienta, a to przydaje się w marketingu i targetowaniu reklam.

Do zakupu sklep potrzebuje jednak tylko danych do płatności i adresu dostawy. Wyjątkiem jest weryfikacja wieku przy towarach z ograniczeniami, na przykład nożach. François podkreśla, że prawdziwą datę urodzenia i prawdziwe nazwisko warto podawać tylko tam, gdzie sprawdza się je w oficjalnych rejestrach: w banku, urzędzie skarbowym, urzędach wydających dokumenty czy przy kontroli prawa do pracy. W takich systemach data urodzenia „działa jak klucz”, a sklep do nich nie należy.

Co możesz zrobić

• Jeśli pole z datą urodzenia nie jest obowiązkowe, zostaw je puste.
• Gdy formularz wymaga daty, wpisuj zawsze tę samą, na przykład pierwszy dzień swojego miesiąca urodzenia. Łatwo ją zapamiętać.
• Nie wypełniaj innych nieobowiązkowych pól osobowych.
• Załóż osobny adres e-mail do zakupów online. Jeśli trafi do wycieku, możesz go porzucić i zacząć od nowa.
• Ostrożnie traktuj każdy niespodziewany kontakt, nawet jeśli rozmówca zna sporo szczegółów na twój temat.

Co to znaczy dla polskiego czytelnika

Opisywane ostrzeżenia dotyczą przede wszystkim rynku brytyjskiego, ale mechanizm jest uniwersalny. Podobne oszustwa „na pracownika banku” czy phishing korzystający z wyciekłych danych dotyczą też użytkowników w Polsce. Zasada oszczędnego dzielenia się informacjami działa niezależnie od kraju.

W Unii Europejskiej obowiązuje RODO, które opiera się na zasadzie minimalizacji danych: firma powinna zbierać tylko to, co jest potrzebne do danego celu. To dobry punkt odniesienia, gdy zastanawiasz się, czy sklep faktycznie musi znać twoją datę urodzenia. Warto też pamiętać, że w Polsce datę urodzenia zawiera numer PESEL, więc ostrożność dotyczy również jego. Gdy ktoś dzwoni w imieniu banku i budzi twoje wątpliwości, najbezpieczniej rozłączyć się i samodzielnie skontaktować z bankiem, korzystając z numeru z karty płatniczej lub oficjalnej aplikacji.

Źródło: The Guardian – „A gift to scammers: why you should probably keep your birthday a secret”