ASOS потвърди изтичане на данни и актуализацията му от 8 октомври дава най-ясната картина досега. Ако се питате за изтичането на данни в ASOS и какво да направите след това, кратката версия е следната: компанията твърди, че откраднати служебни идентификационни данни са довели до разкриването на данни за контакт на клиенти, а разследването ѝ не е установило достъп до пароли или платежни карти на клиенти. Това е по-добра новина, отколкото можеше да бъде, но не е причина да пренебрегвате инцидента.
Какво казва ASOS, че се е случило
Според актуализацията за нарушението от 8 октомври инцидентът води началото си от откраднати служебни идентификационни данни. С други думи, нападателите не са пробили непременно със сила клиентските системи на ASOS. Бяха получени идентификационни данни, принадлежащи на служители, и тези данни бяха свързани с разкриването на информация за контакт на клиенти.
Актуализацията следва по-ранно предупреждение за злонамерено приложение, което в ретроспекция изглежда е било само първият предупредителен знак. Репортажите около случая подсказват, че ранното предупреждение е било намек за по-голям проблем, а не пълната история. Оттогава ASOS публикува констатациите от разследването си, откъдето идват и подробностите по-долу.
В наличните материали не сме виждали цифра за това колко клиенти са засегнати, така че няма да гадаем. Ако ASOS публикува число или се свърже с вас директно, приемете това за авторитетния източник.
Какво беше и какво не беше разкрито
Ключовите точки от разследването на ASOS:
- Разкрито: данни за контакт на клиенти.
- Без достъп, според ASOS: пароли на клиенти и данни за платежни карти.
Тази разлика е важна. Без пароли нападателите не могат просто да влязат в профила ви в ASOS, използвайки данни от този инцидент. Без данни за карти няма пряк път към платежните ви данни чрез това нарушение.
Струва си да се помни, че това са собствените констатации на компанията. Разследванията могат да се развиват и компаниите понякога актуализират заключенията си. Следете официалните комуникации на ASOS, вместо да разчитате на слухове в социалните мрежи.
Защо разкритите данни за контакт подхранват фишинга
Данните за контакт звучат безобидно, но те са суровината за целенасочен фишинг. Когато престъпник знае името ви, имейл адреса или телефонния ви номер и знае, че пазарувате от конкретен търговец на дребно, фалшивото съобщение става много по-убедително.
Очаквайте съобщения, които изглеждат сякаш идват от ASOS или от свързана услуга. Често срещани модели включват:
- Предупреждение, че профилът ви е блокиран и се нуждае от „потвърждение“.
- Известие за доставка или възстановяване на сума с връзка към подобна страница.
- Съобщение, позоваващо се на самото нарушение и подтикващо ви да „защитите профила си“, като въведете паролата или номера на картата си.
Последното е най-жестокият обрат: съобщението за нарушението се превръща в примамка. Тъй като ASOS твърди, че паролите и картите не са били достъпени, всяко съобщение, което ви моли да ги предоставите в отговор на инцидента, трябва незабавно да предизвика подозрение.
Тук се появява и въпросът за VPN, тъй като много читатели питат за него след нарушение. VPN криптира връзката ви и скрива IP адреса ви от сайтовете, които посещавате, и от подслушвачи в локалната мрежа. Това е полезно, но не спира фишинг имейл да попадне в пощата ви и не ви защитава, ако доброволно въведете паролата си на фалшива страница. За този инцидент VPN адресира само малка част от риска. Навиците ви имат много по-голямо значение.
По-широкият модел на нарушения, превръщащи се в кампании за натиск, не е уникален за търговията на дребно. За контекст как това се развива другаде, вижте нашето отразяване на инцидента с ATB, където група, наричаща себе си DataSuckers, според съобщенията поиска 400 хил. долара.
Какво означава това за вас
Ако имате профил в ASOS, излагането ви е главно свързано с нежелани контакти, а не с пряка финансова загуба. Въз основа на това, което ASOS каза, реалистичната заплаха е добре измислено измамно съобщение, а не някой, който влиза в профила ви като вас.
Въпреки това няколко неща повишават риска ви. Ако използвате повторно паролата си за ASOS на други сайтове, отделно нарушение все още може да ви изложи на опасност. Ако сте склонни бързо да кликвате върху връзки в имейли или съобщения, убедително фалшиво съобщение от ASOS е по-вероятно да проработи при вас. И ако имейл адресът ви е свързан с много други профили, успешен фишинг може да предизвика верижна реакция.
Практични стъпки за защита на профилите ви
- Отнасяйте се с подозрение към неочаквани съобщения с тема ASOS. Не кликвайте върху връзки в имейли или съобщения. Отворете приложението на ASOS или сами напишете адреса в браузъра си.
- Активирайте двуфакторно удостоверяване (2FA) за профила си в ASOS, ако е налично, и за имейл акаунта си, който е ключът към нулирането на всичко останало.
- Използвайте мениджър на пароли, за да създавате уникална парола за всеки сайт. Въпреки че ASOS твърди, че паролите не са били достъпени, смяната на вашата е евтина предпазна мярка, особено ако сте я използвали повторно другаде.
- Проверявайте извлеченията си. Дори без разкриване на данни за карти, редовният преглед на банковата активност е добра практика.
- Никога не споделяйте кодове. Легитимните компании няма да поискат вашия 2FA код или пълния номер на картата ви чрез съобщение.
- Докладвайте подозрителни съобщения на ASOS и на доставчика на имейла ви, за да могат да бъдат филтрирани.
Заключението
Изтичането на данни в ASOS и какво да правите по въпроса се свежда до бдителност, а не до паника. ASOS твърди, че откраднати служебни идентификационни данни са разкрили данни за контакт на клиенти, но не и пароли или карти, така че основната опасност е целенасочен фишинг. Включете 2FA, използвайте мениджър на пароли и третирайте всяко неочаквано съобщение с тема ASOS като подозрително, докато не го потвърдите чрез официалното приложение или сайт. За да видите как тактиките за натиск при нарушения се развиват по-широко, прочетете нашата статия за случая ATB DataSuckers.
