ASOS har bekræftet et datalæk, og deres opdatering fra 8. oktober giver indtil videre det klareste billede for kunderne. Hvis du undrer dig over ASOS-datalækket og hvad du skal gøre nu, er den korte version denne: virksomheden siger, at stjålne medarbejderoplysninger førte til eksponering af kundekontaktdata, og deres undersøgelse fandt ingen adgang til kundeadgangskoder eller betalingskort. Det er bedre nyt, end det kunne have været, men det er ikke en grund til at ignorere hændelsen.
Hvad ASOS siger der skete
Ifølge opdateringen om bruddet den 8. oktober kan hændelsen spores tilbage til stjålne medarbejderoplysninger. Med andre ord brød angriberne ikke nødvendigvis ind i ASOS' kundevendte systemer med magt. Oplysninger tilhørende ansatte blev erhvervet, og disse oplysninger blev knyttet til eksponeringen af kundekontaktoplysninger.
Opdateringen følger en tidligere advarsel om en falsk app, som i bagklogskabens lys kun ser ud til at have været det første advarselstegn. Rapporteringen om sagen tyder på, at den tidlige advarsel var et hint om et større problem snarere end hele historien. ASOS har siden offentliggjort deres undersøgelsesresultater, og det er her, detaljerne nedenfor kommer fra.
Vi har ikke set noget tal for, hvor mange kunder der blev påvirket, i det tilgængelige materiale, så vi vil ikke gætte på et. Hvis ASOS offentliggør et tal eller kontakter dig direkte, så betragt det som den autoritative kilde.
Hvad blev og hvad blev ikke eksponeret
De vigtigste punkter fra ASOS' undersøgelse:
- Eksponeret: kundekontaktdata.
- Ikke tilgået, ifølge ASOS: kundeadgangskoder og betalingskortoplysninger.
Denne sondring er vigtig. Uden adgangskoder kan angribere ikke bare logge ind på din ASOS-konto ved hjælp af data fra denne hændelse. Uden kortdata er der ingen direkte vej til dine betalingsoplysninger gennem dette brud.
Det er værd at huske, at dette er virksomhedens egne resultater. Undersøgelser kan udvikle sig, og virksomheder opdaterer nogle gange deres konklusioner. Hold øje med officielle ASOS-kommunikationer i stedet for at stole på rygter på sociale medier.
Hvorfor eksponerede kontaktoplysninger understøtter phishing
Kontaktoplysninger lyder harmløse, men de er råmaterialet til målrettet phishing. Når en kriminel kender dit navn, din e-mailadresse eller dit telefonnummer og ved, at du handler hos en bestemt forhandler, bliver en falsk besked meget mere overbevisende.
Forvent beskeder, der ser ud til at komme fra ASOS eller fra en relateret tjeneste. Almindelige mønstre inkluderer:
- En advarsel om, at din konto er blevet låst og skal "bekræftes".
- En leverings- eller refusionsmeddelelse med et link til en lignende side.
- En besked, der henviser til selve bruddet og opfordrer dig til at "sikre din konto" ved at indtaste din adgangskode eller dit kortnummer.
Den sidste er den grusomste vending: meddelelsen om bruddet bliver agnen. Fordi ASOS siger, at adgangskoder og kort ikke blev tilgået, bør enhver besked, der beder dig om at oplyse dem som reaktion på hændelsen, straks vække mistanke.
Det er også her, VPN-spørgsmålet kommer ind, da mange læsere spørger om det efter et brud. En VPN krypterer din forbindelse og skjuler din IP-adresse for de websteder, du besøger, og for lokale netværkssnushaner. Det er nyttigt, men det stopper ikke en phishing-e-mail i at lande i din indbakke, og det beskytter dig ikke, hvis du frivilligt indtaster din adgangskode på en falsk side. For denne hændelse håndterer en VPN kun en lille del af risikoen. Dine vaner betyder meget mere.
Det bredere mønster med brud, der bliver til preskampagner, er ikke unikt for detailhandlen. For kontekst om, hvordan det udspiller sig andre steder, se vores dækning af ATB-hændelsen, hvor en gruppe, der kalder sig DataSuckers, angiveligt krævede 400.000 dollars.
Hvad det betyder for dig
Hvis du har en ASOS-konto, handler din eksponering primært om uønsket kontakt, ikke direkte økonomisk tab. Baseret på det, ASOS har sagt, er den realistiske trussel en veludformet svindelbesked, ikke nogen, der logger ind som dig.
Når det er sagt, er der et par ting, der øger din risiko. Hvis du genbruger din ASOS-adgangskode på andre websteder, kan et separat brud stadig bringe dig i fare. Hvis du har tendens til hurtigt at klikke på links i e-mails eller sms'er, er en overbevisende falsk ASOS-besked mere tilbøjelig til at virke på dig. Og hvis din e-mailadresse er knyttet til mange andre konti, kan en vellykket phishing få følgevirkninger.
Praktiske trin til at beskytte dine konti
- Behandl uventede ASOS-relaterede beskeder med mistanke. Klik ikke på links i e-mails eller sms'er. Åbn ASOS-appen, eller skriv selv adressen i din browser.
- Aktivér to-faktor-godkendelse (2FA) på din ASOS-konto, hvis det er tilgængeligt, og på din e-mailkonto, som er nøglen til at nulstille alt andet.
- Brug en adgangskodeadministrator til at oprette en unik adgangskode til hvert websted. Selvom ASOS siger, at adgangskoder ikke blev tilgået, er det en billig forholdsregel at ændre din, især hvis du genbrugte den andre steder.
- Tjek dine kontoudtog. Selv uden eksponering af kortdata er regelmæssig gennemgang af bankaktivitet god praksis.
- Del aldrig koder. Legitime virksomheder vil ikke bede om din 2FA-kode eller dit fulde kortnummer via besked.
- Rapporter mistænkelige beskeder til ASOS og til din e-mailudbyder, så de kan filtreres.
Bundlinjen
ASOS-datalækket, og hvad du skal gøre ved det, handler om årvågenhed snarere end panik. ASOS siger, at stjålne medarbejderoplysninger eksponerede kundekontaktoplysninger, men ikke adgangskoder eller kort, så den største fare er målrettet phishing. Slå 2FA til, brug en adgangskodeadministrator, og behandl enhver uventet ASOS-relateret besked som mistænkelig, indtil du har verificeret den via den officielle app eller det officielle websted. For at se, hvordan presstaktikker ved brud udspiller sig mere bredt, læs vores artikel om ATB DataSuckers-sagen.
