أكدت ASOS وقوع خرق للبيانات، ويقدم تحديثها الصادر في 8 أكتوبر أوضح صورة حتى الآن. إذا كنت تتساءل عن خرق بيانات ASOS وما يجب فعله بعد ذلك، فإليك الخلاصة: تقول الشركة إن بيانات اعتماد موظفين مسروقة أدت إلى كشف بيانات الاتصال الخاصة بالعملاء، وإن تحقيقها لم يجد أي وصول إلى كلمات مرور العملاء أو بطاقات الدفع. هذه أخبار أفضل مما كان يمكن أن تكون عليه، لكنها ليست سببًا لتجاهل الحادثة.
ما تقول ASOS إنه حدث
وفقًا لتحديث الخرق الصادر في 8 أكتوبر، تعود الحادثة إلى بيانات اعتماد موظفين مسروقة. بعبارة أخرى، لم يقتحم المهاجمون بالضرورة أنظمة ASOS الموجهة للعملاء بالقوة. فقد تم الحصول على بيانات اعتماد تخص الموظفين، وكانت تلك البيانات مرتبطة بكشف معلومات الاتصال الخاصة بالعملاء.
يأتي هذا التحديث بعد تنبيه سابق بشأن تطبيق ضار، والذي يبدو الآن، بالنظر إلى ما حدث، أنه كان مجرد أول علامة تحذير. تشير التقارير حول القضية إلى أن ذلك التنبيه المبكر كان مؤشرًا على مشكلة أكبر وليس القصة الكاملة. وقد نشرت ASOS منذ ذلك الحين نتائج تحقيقها، ومنها جاءت التفاصيل أدناه.
لم نرَ أي رقم يوضح عدد العملاء المتأثرين في المواد المتاحة، لذلك لن نخمّن رقمًا. إذا نشرت ASOS رقمًا أو تواصلت معك مباشرة، فاعتبر ذلك المصدر الموثوق.
ما الذي تم كشفه وما لم يتم كشفه
النقاط الرئيسية من تحقيق ASOS:
- تم كشفه: بيانات الاتصال الخاصة بالعملاء.
- لم يتم الوصول إليه، وفقًا لـ ASOS: كلمات مرور العملاء وتفاصيل بطاقات الدفع.
هذا التمييز مهم. فبدون كلمات المرور، لا يمكن للمهاجمين ببساطة تسجيل الدخول إلى حساب ASOS الخاص بك باستخدام بيانات هذه الحادثة. وبدون بيانات البطاقة، لا يوجد مسار مباشر إلى تفاصيل الدفع الخاصة بك من خلال هذا الخرق.
يجدر التذكير بأن هذه هي نتائج الشركة نفسها. فالتحقيقات يمكن أن تتطور، وأحيانًا تحدّث الشركات استنتاجاتها. راقب الاتصالات الرسمية من ASOS بدلًا من الاعتماد على شائعات وسائل التواصل الاجتماعي.
لماذا تغذي تفاصيل الاتصال المكشوفة التصيد الاحتيالي
تبدو تفاصيل الاتصال غير ضارة، لكنها المادة الخام للتصيد الاحتيالي المستهدف. فعندما يعرف المجرم اسمك أو بريدك الإلكتروني أو رقم هاتفك، ويعرف أنك تتسوق من متجر تجزئة معين، تصبح الرسالة المزيفة أكثر إقناعًا بكثير.
توقّع رسائل تبدو وكأنها صادرة من ASOS أو من خدمة مرتبطة بها. تشمل الأنماط الشائعة:
- تحذير بأن حسابك قد تم قفله ويحتاج إلى "تحقق".
- إشعار تسليم أو استرداد مبلغ مع رابط إلى صفحة مشابهة.
- رسالة تشير إلى الخرق نفسه وتحثّك على "تأمين حسابك" عبر إدخال كلمة المرور أو رقم البطاقة.
هذا الأخير هو أقسى منعطف: إذ يصبح إعلان الخرق نفسه هو الطُعم. ولأن ASOS تقول إن كلمات المرور والبطاقات لم يتم الوصول إليها، فإن أي رسالة تطلب منك تقديمها ردًا على الحادثة يجب أن تثير شكًا فوريًا.
وهنا يأتي سؤال VPN أيضًا، إذ يسأل عنه كثير من القراء بعد أي خرق. يقوم VPN بتشفير اتصالك وإخفاء عنوان IP الخاص بك عن المواقع التي تزورها وعن المتطفلين على الشبكة المحلية. هذا مفيد، لكنه لا يمنع وصول بريد تصيد احتيالي إلى صندوق الوارد، ولا يحميك إذا أدخلت كلمة مرورك بنفسك في صفحة مزيفة. وبالنسبة لهذه الحادثة، يعالج VPN جزءًا ضيقًا فقط من المخاطر. عاداتك أهم بكثير.
النمط الأوسع من تحوّل الاختراقات إلى حملات ضغط ليس حكرًا على قطاع التجزئة. ولمزيد من السياق حول كيفية ظهور ذلك في أماكن أخرى، راجع تغطيتنا لـ حادثة ATB، حيث طالبت مجموعة تطلق على نفسها اسم DataSuckers reportedly بمبلغ 400 ألف دولار.
ماذا يعني هذا بالنسبة لك
إذا كان لديك حساب على ASOS، فإن تعرّضك يتعلق أساسًا بالتواصل غير المرغوب فيه، وليس بخسارة مالية مباشرة. وبناءً على ما قالته ASOS، فإن التهديد الواقعي هو رسالة احتيال مُصممة بإتقان، وليس شخصًا يسجّل الدخول بصفك.
ومع ذلك، هناك أمور ترفع مستوى خطرك. فإذا كنت تعيد استخدام كلمة مرور ASOS على مواقع أخرى، فقد يضعك خرق منفصل في خطر رغم ذلك. وإذا كنت تميل إلى النقر على الروابط في رسائل البريد الإلكتروني أو الرسائل النصية بسرعة، فمن المرجح أن تنطلي عليك رسالة ASOS مزيفة مقنعة. وإذا كان بريدك الإلكتروني مرتبطًا بالعديد من الحسابات الأخرى، فقد يتسلسل أثر تصيد ناجح.
خطوات عملية لحماية حساباتك
- تعامل مع رسائل ASOS غير المتوقعة بارتياب. لا تنقر على الروابط في رسائل البريد الإلكتروني أو النصية. افتح تطبيق ASOS أو اكتب العنوان في متصفحك بنفسك.
- فعّل المصادقة الثنائية (2FA) على حساب ASOS الخاص بك إذا كانت متاحة، وعلى حساب بريدك الإلكتروني، الذي يُعد مفتاح إعادة تعيين كل شيء آخر.
- استخدم مدير كلمات مرور لإنشاء كلمة مرور فريدة لكل موقع. ورغم أن ASOS تقول إن كلمات المرور لم يتم الوصول إليها، فإن تغيير كلمتك يعد احتياطًا منخفض التكلفة، خاصة إذا كنت قد أعدت استخدامها في مكان آخر.
- راجع كشوف حسابك. حتى بدون كشف بيانات البطاقة، فإن المراجعة المنتظمة لنشاط البنك ممارسة جيدة.
- لا تشارك الرموز أبدًا. لن تطلب منك الشركات الشرعية رمز المصادقة الثنائية أو رقم بطاقتك الكامل عبر رسالة.
- أبلغ عن الرسائل المشبوهة إلى ASOS وإلى مزود بريدك الإلكتروني حتى يمكن تصفيتها.
الخلاصة
يعود خرق بيانات ASOS، وما يجب فعله بشأنه، إلى اليقظة وليس الذعر. تقول ASOS إن بيانات اعتماد موظفين مسروقة كشفت تفاصيل الاتصال بالعملاء لكن ليس كلمات المرور أو البطاقات، لذا فإن الخطر الرئيسي هو التصيد المستهدف. فعّل المصادقة الثنائية، واستخدم مدير كلمات مرور، وتعامل مع أي رسالة غير متوقعة تتعلق بـ ASOS على أنها مشبوهة حتى تتحقق منها عبر التطبيق أو الموقع الرسمي. ولمعرفة كيف تتكشف تكتيكات الضغط بعد الاختراقات على نطاق أوسع، اقرأ مقالتنا عن قضية ATB DataSuckers.
