ASOS hat ein Datenleck bestätigt, und das Update vom 8. Oktober gibt Käufern das bisher klarste Bild. Wenn Sie sich zum ASOS-Datenleck und den nächsten Schritten fragen, lautet die Kurzfassung: Das Unternehmen sagt, gestohlene Mitarbeiter-Zugangsdaten hätten zur Offenlegung von Kundendaten geführt, und seine Untersuchung habe keinen Zugriff auf Kundenpasswörter oder Zahlungskarten festgestellt. Das ist eine bessere Nachricht, als es hätte sein können, aber kein Grund, den Vorfall zu ignorieren.

Was laut ASOS passiert ist

Dem Update zum Datenleck vom 8. Oktober zufolge geht der Vorfall auf gestohlene Mitarbeiter-Zugangsdaten zurück. Mit anderen Worten: Die Angreifer haben nicht unbedingt gewaltsam die kundenseitigen Systeme von ASOS durchbrochen. Zugangsdaten von Mitarbeitern wurden erlangt, und diese Zugangsdaten standen in Verbindung mit der Offenlegung von Kundenkontaktdaten.

Das Update folgt auf eine frühere Warnung vor einer betrügerischen App, die rückblickend nur das erste Warnsignal gewesen zu sein scheint. Die Berichterstattung zum Fall deutet darauf hin, dass diese frühe Warnung ein Hinweis auf ein größeres Problem war und nicht die ganze Geschichte. ASOS hat inzwischen seine Untersuchungsergebnisse veröffentlicht, und daher stammen die folgenden Details.

In dem verfügbaren Material haben wir keine Zahl dazu gesehen, wie viele Kunden betroffen waren, daher werden wir keine schätzen. Wenn ASOS eine Zahl veröffentlicht oder Sie direkt kontaktiert, behandeln Sie das als maßgebliche Quelle.

Was offengelegt wurde und was nicht

Die Kernpunkte aus der Untersuchung von ASOS:

  • Offengelegt: Kundenkontaktdaten.
  • Laut ASOS nicht zugegriffen: Kundenpasswörter und Zahlungskartendaten.

Diese Unterscheidung ist wichtig. Ohne Passwörter können Angreifer sich nicht einfach mit Daten aus diesem Vorfall in Ihr ASOS-Konto einloggen. Ohne Kartendaten gibt es über dieses Datenleck keinen direkten Weg zu Ihren Zahlungsdaten.

Es lohnt sich, sich daran zu erinnern, dass dies die eigenen Feststellungen des Unternehmens sind. Untersuchungen können sich weiterentwickeln, und Unternehmen aktualisieren manchmal ihre Schlussfolgerungen. Behalten Sie offizielle Mitteilungen von ASOS im Blick, statt sich auf Gerüchte in sozialen Medien zu verlassen.

Warum offengelegte Kontaktdaten Phishing befeuern

Kontaktdaten klingen harmlos, sind aber der Rohstoff für gezieltes Phishing. Wenn ein Krimineller Ihren Namen, Ihre E-Mail-Adresse oder Telefonnummer kennt und weiß, dass Sie bei einem bestimmten Händler einkaufen, wird eine gefälschte Nachricht viel überzeugender.

Rechnen Sie mit Nachrichten, die von ASOS oder einem zugehörigen Dienst zu stammen scheinen. Häufige Muster sind:

  • Eine Warnung, dass Ihr Konto gesperrt wurde und „verifiziert“ werden muss.
  • Eine Liefer- oder Rückerstattungsmitteilung mit einem Link zu einer täuschend ähnlichen Seite.
  • Eine Nachricht, die sich auf das Datenleck selbst bezieht und Sie drängt, Ihr Konto durch Eingabe Ihres Passworts oder Ihrer Kartennummer zu „sichern“.

Das Letzte ist die grausamste Wendung: Die Ankündigung des Datenlecks wird zum Köder. Da ASOS sagt, dass auf Passwörter und Karten nicht zugegriffen wurde, sollte jede Nachricht, die Sie auffordert, diese als Reaktion auf den Vorfall anzugeben, sofort Verdacht erregen.

Hier kommt auch die VPN-Frage ins Spiel, da viele Leser nach einem Datenleck danach fragen. Ein VPN verschlüsselt Ihre Verbindung und verbirgt Ihre IP-Adresse vor den Websites, die Sie besuchen, und vor neugierigen Blicken im lokalen Netzwerk. Das ist nützlich, aber es verhindert nicht, dass eine Phishing-E-Mail in Ihrem Posteingang landet, und es schützt Sie nicht, wenn Sie freiwillig Ihr Passwort auf einer gefälschten Seite eingeben. Für diesen Vorfall betrifft ein VPN nur einen kleinen Teil des Risikos. Ihre Gewohnheiten sind weit wichtiger.

Das breitere Muster, dass Datenlecks zu Druckkampagnen werden, ist nicht auf den Einzelhandel beschränkt. Für den Kontext, wie sich das anderswo abspielt, lesen Sie unsere Berichterstattung über den ATB-Vorfall, bei dem eine Gruppe namens DataSuckers Berichten zufolge 400.000 $ forderte.

Was das für Sie bedeutet

Wenn Sie ein ASOS-Konto haben, geht es bei Ihrer Betroffenheit hauptsächlich um unerwünschten Kontakt, nicht um direkten finanziellen Verlust. Basierend auf dem, was ASOS gesagt hat, ist die realistische Bedrohung eine gut gestaltete Betrugsnachricht und nicht jemand, der sich als Sie einloggt.

Allerdings erhöhen einige Dinge Ihr Risiko. Wenn Sie Ihr ASOS-Passwort auf anderen Websites wiederverwenden, könnte ein separates Datenleck Sie trotzdem in Gefahr bringen. Wenn Sie dazu neigen, schnell auf Links in E-Mails oder Texten zu klicken, wird eine überzeugende gefälschte ASOS-Nachricht eher bei Ihnen funktionieren. Und wenn Ihre E-Mail-Adresse mit vielen anderen Konten verknüpft ist, könnte ein erfolgreiches Phishing eine Kettenreaktion auslösen.

Praktische Schritte zum Schutz Ihrer Konten

  1. Behandeln Sie unerwartete Nachrichten im ASOS-Stil mit Misstrauen. Klicken Sie nicht auf Links in E-Mails oder Texten. Öffnen Sie die ASOS-App oder geben Sie die Adresse selbst in Ihren Browser ein.
  2. Aktivieren Sie die Zwei-Faktor-Authentifizierung (2FA) für Ihr ASOS-Konto, falls verfügbar, und für Ihr E-Mail-Konto, das der Schlüssel zum Zurücksetzen alles anderen ist.
  3. Verwenden Sie einen Passwortmanager, um für jede Website ein einzigartiges Passwort zu erstellen. Auch wenn ASOS sagt, dass auf Passwörter nicht zugegriffen wurde, ist eine Änderung Ihres Passworts eine günstige Vorsichtsmaßnahme, besonders wenn Sie es anderswo wiederverwendet haben.
  4. Prüfen Sie Ihre Kontoauszüge. Auch ohne Offenlegung von Kartendaten ist eine regelmäßige Überprüfung der Bankaktivitäten gute Praxis.
  5. Teilen Sie niemals Codes. Seriöse Unternehmen werden Sie nicht per Nachricht nach Ihrem 2FA-Code oder Ihrer vollständigen Kartennummer fragen.
  6. Melden Sie verdächtige Nachrichten an ASOS und an Ihren E-Mail-Anbieter, damit sie gefiltert werden können.

Das Fazit

Das ASOS-Datenleck und was dagegen zu tun ist, läuft auf Wachsamkeit statt Panik hinaus. ASOS sagt, dass gestohlene Mitarbeiter-Zugangsdaten Kundenkontaktdaten offengelegt haben, aber keine Passwörter oder Karten, sodass die Hauptgefahr gezieltes Phishing ist. Aktivieren Sie 2FA, verwenden Sie einen Passwortmanager und behandeln Sie jede unerwartete Nachricht im ASOS-Stil als verdächtig, bis Sie sie über die offizielle App oder Website verifiziert haben. Um zu sehen, wie Drucktaktiken nach Datenlecks breiter ablaufen, lesen Sie unseren Beitrag zum ATB-DataSuckers-Fall.