ASOS potvrdil únik dat a jeho aktualizace z 8. října poskytuje zákazníkům zatím nejjasnější obrázek situace. Pokud vás zajímá únik dat ASOS a co dělat dál, krátká verze je tato: společnost uvádí, že ukradené přihlašovací údaje zaměstnanců vedly k odhalení kontaktních údajů zákazníků, a její vyšetřování nezjistilo žádný přístup k zákaznickým heslům ani platebním kartám. To je lepší zpráva, než mohla být, ale není to důvod incident ignorovat.

Co ASOS uvádí, že se stalo

Podle aktualizace o úniku z 8. října se incident odvíjí od ukradených přihlašovacích údajů zaměstnanců. Jinými slovy, útočníci nutně nepronikli silou do zákaznických systémů ASOS. Byly získány přihlašovací údaje patřící zaměstnancům a tyto údaje byly spojeny s odhalením kontaktních informací zákazníků.

Aktualizace navazuje na dřívější varování před podvodnou aplikací, které se zpětně jeví jako pouhé první varovné znamení. Zprávy o případu naznačují, že toto rané varování bylo náznakem většího problému, nikoli celým příběhem. ASOS od té doby zveřejnil výsledky svého vyšetřování, z nichž pocházejí níže uvedené podrobnosti.

V dostupných materiálech jsme nezaznamenali žádný údaj o tom, kolik zákazníků bylo zasaženo, takže se o žádný nebudeme pokoušet odhadnout. Pokud ASOS zveřejní číslo nebo vás bude kontaktovat přímo, považujte to za autoritativní zdroj.

Co bylo a co nebylo odhaleno

Klíčové body vyšetřování ASOS:

  • Odhaleno: kontaktní údaje zákazníků.
  • Podle ASOS nepřístupné: zákaznická hesla a údaje o platebních kartách.

Tento rozdíl je důležitý. Bez hesel se útočníci nemohou jednoduše přihlásit do vašeho účtu ASOS pomocí dat z tohoto incidentu. Bez údajů o kartách neexistuje přímá cesta k vašim platebním údajům prostřednictvím tohoto úniku.

Stojí za to připomenout, že se jedná o vlastní zjištění společnosti. Vyšetřování se může vyvíjet a společnosti někdy své závěry aktualizují. Sledujte oficiální komunikaci ASOS, místo abyste se spoléhali na fámy ze sociálních sítí.

Proč odhalené kontaktní údaje živí phishing

Kontaktní údaje znějí neškodně, ale jsou surovinou pro cílený phishing. Když zločinec zná vaše jméno, e-mailovou adresu nebo telefonní číslo a ví, že nakupujete u konkrétního prodejce, falešná zpráva se stává mnohem přesvědčivější.

Očekávejte zprávy, které vypadají, že pocházejí od ASOS nebo od související služby. Mezi běžné vzorce patří:

  • Varování, že váš účet byl zablokován a vyžaduje „ověření".
  • Oznámení o doručení nebo vrácení peněz s odkazem na podobnou stránku.
  • Zpráva odkazující na samotný únik a naléhající na vás, abyste „zabezpečili svůj účet" zadáním hesla nebo čísla karty.

Ten poslední je nejkrutější zvrat: oznámení o úniku se stává návnadou. Vzhledem k tomu, že ASOS uvádí, že hesla a karty nebyly přístupné, jakákoli zpráva, která vás žádá o jejich poskytnutí v reakci na incident, by měla okamžitě vzbudit podezření.

Zde také přichází na řadu otázka VPN, na kterou se mnoho čtenářů po úniku ptá. VPN šifruje vaše připojení a skrývá vaši IP adresu před navštěvovanými stránkami a před místními odposlouchávači sítě. To je užitečné, ale nezastaví phishingový e-mail v doručení do vaší schránky a neochrání vás, pokud dobrovolně zadáte své heslo na falešné stránce. Pro tento incident řeší VPN jen úzkou část rizika. Vaše návyky jsou mnohem důležitější.

Širší vzorec úniků, které se mění v nátlakové kampaně, není jedinečný pro maloobchod. Pro kontext, jak se to odehrává jinde, viz naše pokrytí incidentu ATB, kde skupina nazývající se DataSuckers údajně požadovala 400 000 dolarů.

Co to znamená pro vás

Pokud máte účet ASOS, vaše expozice se týká hlavně nežádoucího kontaktu, nikoli přímé finanční ztráty. Na základě toho, co ASOS uvedl, je reálnou hrozbou dobře vytvořená podvodná zpráva, nikoli někdo, kdo se přihlásí jako vy.

To znamená, že několik věcí zvyšuje vaše riziko. Pokud používáte své heslo k ASOS na jiných stránkách, jiný únik by vás stále mohl dostat do nebezpečí. Pokud máte tendenci rychle klikat na odkazy v e-mailech nebo SMS, přesvědčivá falešná zpráva ASOS na vás pravděpodobněji zapůsobí. A pokud je vaše e-mailová adresa propojena s mnoha dalšími účty, úspěšný phishing by se mohl kaskádovitě šířit.

Praktické kroky k ochraně vašich účtů

  1. Přístupujte k neočekávaným zprávám s tématem ASOS s podezřením. Neklikejte na odkazy v e-mailech nebo SMS. Otevřete aplikaci ASOS nebo si adresu zadejte do prohlížeče sami.
  2. Zapněte dvoufaktorové ověřování (2FA) na svém účtu ASOS, pokud je k dispozici, a na svém e-mailovém účtu, který je klíčem k resetování všeho ostatního.
  3. Použijte správce hesel k vytvoření jedinečného hesla pro každou stránku. I když ASOS uvádí, že hesla nebyla přístupná, změna toho vašeho je levné preventivní opatření, zejména pokud jste ho použili jinde.
  4. Kontrolujte své výpisy. I bez odhalení údajů o kartách je pravidelná kontrola bankovních aktivit dobrou praxí.
  5. Nikdy nesdílejte kódy. Legitimní společnosti po vás nebudou prostřednictvím zprávy požadovat váš kód 2FA nebo plné číslo karty.
  6. Nahlaste podezřelé zprávy společnosti ASOS a svému poskytovateli e-mailu, aby mohly být filtrovány.

Shrnutí

Únik dat ASOS a co s tím dělat se scvrkává na ostražitost, nikoli paniku. ASOS uvádí, že ukradené přihlašovací údaje zaměstnanců odhalily kontaktní údaje zákazníků, ale ne hesla nebo karty, takže hlavním nebezpečím je cílený phishing. Zapněte 2FA, použijte správce hesel a s každou neočekávanou zprávou s tématem ASOS zacházejte jako s podezřelou, dokud ji neověříte prostřednictvím oficiální aplikace nebo stránky. Chcete-li vidět, jak se nátlakové taktiky po únicích vyvíjejí šířeji, přečtěte si náš článek o případu ATB DataSuckers.