ASOS on vahvistanut tietomurron, ja sen 8. lokakuuta julkaisema päivitys antaa ostajille selkeimmän kuvan tähän mennessä. Jos mietit ASOS-tietomurtoa ja sitä, mitä seuraavaksi pitäisi tehdä, lyhyt versio on tämä: yhtiön mukaan varastetut työntekijöiden tunnistetiedot johtivat asiakkaiden yhteystietojen paljastumiseen, eikä sen tutkinnassa havaittu pääsyä asiakkaiden salasanoihin tai maksukortteihin. Se on parempi uutinen kuin olisi voinut olla, mutta se ei ole syy sivuuttaa tapausta.
Mitä ASOS kertoo tapahtuneen
- lokakuuta julkaistun tietomurtoa koskevan päivityksen mukaan tapaus juontaa juurensa varastettuihin työntekijöiden tunnistetietoihin. Toisin sanoen hyökkääjät eivät välttämättä murtautuneet ASOSin asiakasrajapinnan järjestelmiin voimakeinoin. Henkilökunnalle kuuluvia tunnistetietoja hankittiin, ja ne tunnistetiedot yhdistettiin asiakkaiden yhteystietojen paljastumiseen.
Päivitys seuraa aiempaa varoitusilmoitusta haittaohjelmasovelluksesta, joka jälkikäteen tarkasteltuna näyttää olleen vain ensimmäinen varoitusmerkki. Tapauksen uutisointi viittaa siihen, että varhainen varoitus oli vihje suuremmasta ongelmasta eikä koko tarina. ASOS on sittemmin julkaissut tutkintansa tulokset, joista alla olevat yksityiskohdat ovat peräisin.
Käytettävissä olevassa aineistossa ei ole näkynyt lukua siitä, kuinka moni asiakas oli vaikutuksen alaisena, joten emme ryhdy arvaamaan sitä. Jos ASOS julkaisee luvun tai ottaa sinuun suoraan yhteyttä, pidä sitä virallisena lähteenä.
Mitä paljastui ja mitä ei
ASOSin tutkinnan keskeiset kohdat:
- Paljastui: asiakkaiden yhteystiedot.
- Ei käytetty, ASOSin mukaan: asiakkaiden salasanat ja maksukorttitiedot.
Tällä erolla on merkitystä. Ilman salasanoja hyökkääjät eivät voi yksinkertaisesti kirjautua ASOS-tilillesi tästä tapauksesta saatujen tietojen avulla. Ilman korttitietoja tämän tietomurron kautta ei ole suoraa reittiä maksutietoihisi.
On syytä muistaa, että nämä ovat yhtiön omia tutkintatuloksia. Tutkinnat voivat kehittyä, ja yritykset päivittävät joskus johtopäätöksiään. Seuraa ASOSin virallista viestintää sen sijaan, että luottaisit sosiaalisen median huhuihin.
Miksi paljastuneet yhteystiedot ruokkivat tietojenkalastelua
Yhteystiedot kuulostavat vaarattomilta, mutta ne ovat kohdennetun tietojenkalastelun raaka-ainetta. Kun rikollinen tietää nimesi, sähköpostiosoitteesi tai puhelinnumerosi ja tietää, että asioit tietyssä vähittäiskaupassa, väärennetystä viestistä tulee paljon vakuuttavampi.
Odota viestejä, jotka näyttävät tulevan ASOSilta tai siihen liittyvältä palvelulta. Yleisiä malleja ovat:
- Varoitus, että tilisi on lukittu ja se vaatii "vahvistusta".
- Toimitus- tai hyvitysilmoitus, jossa on linkki samannäköiselle sivulle.
- Viesti, joka viittaa itse tietomurtoon ja kehottaa sinua "turvaamaan tilisi" syöttämällä salasanasi tai korttinumerosi.
Viimeisin on julmin käänne: tietomurrosta tiedottaminen muuttuu syötiksi. Koska ASOSin mukaan salasanoihin ja kortteihin ei päästy käsiksi, minkä tahansa viestin, jossa pyydetään antamaan ne tapaukseen liittyen, pitäisi herättää välitön epäilys.
Tässä tulee esiin myös VPN-kysymys, sillä monet lukijat kysyvät siitä tietomurron jälkeen. VPN salaa yhteytesi ja piilottaa IP-osoitteesi vierailemiltasi sivustoilta ja paikallisen verkon urkkijoilta. Siitä on hyötyä, mutta se ei estä tietojenkalastelusähköpostia päätymästä postilaatikkoosi, eikä se suojaa sinua, jos syötät salasanasi vapaaehtoisesti väärennetylle sivulle. Tässä tapauksessa VPN käsittelee vain kapeaa osaa riskistä. Tottumuksesi merkitsevät paljon enemmän.
Laajempi kaava, jossa tietomurrot muuttuvat painostuskampanjoiksi, ei ole ainutlaatuinen vähittäiskaupalle. Saadaksesi taustatietoa siitä, miten se ilmenee muualla, katso käsittelymme ATB-tapauksesta, jossa itseään DataSuckersiksi kutsunut ryhmä vaati raportoidusti 400 000 dollaria.
Mitä tämä tarkoittaa sinulle
Jos sinulla on ASOS-tili, altistumisesi koskee pääasiassa ei-toivottua yhteydenottoa, ei suoraa taloudellista menetystä. ASOSin kertoman perusteella todellinen uhka on hyvin laadittu huijausviesti, ei se, että joku kirjautuisi sisään sinuna.
Siitä huolimatta muutamat asiat lisäävät riskiäsi. Jos käytät samaa ASOS-salasanaa muilla sivustoilla, erillinen tietomurto voi silti saattaa sinut vaaraan. Jos tapasi on napsauttaa nopeasti sähköposteissa tai tekstiviesteissä olevia linkkejä, vakuuttava väärennetty ASOS-viesti todennäköisemmin toimii sinuun. Ja jos sähköpostiosoitteesi on sidottu moniin muihin tileihin, onnistunut tietojenkalastelu voi levitä laajalle.
Käytännön toimenpiteet tiliesi suojaamiseksi
- Suhtaudu odottamattomiin ASOS-aiheisiin viesteihin epäluuloisesti. Älä napsauta sähköposteissa tai tekstiviesteissä olevia linkkejä. Avaa ASOS-sovellus tai kirjoita osoite itse selaimeesi.
- Ota käyttöön kaksivaiheinen tunnistautuminen (2FA) ASOS-tililläsi, jos se on saatavilla, sekä sähköpostitililläsi, joka on avain kaiken muun nollaamiseen.
- Käytä salasananhallintaohjelmaa luodaksesi yksilöllisen salasanan jokaiselle sivustolle. Vaikka ASOSin mukaan salasanoihin ei päästy käsiksi, salasanasi vaihtaminen on edullinen varotoimi, varsinkin jos käytit samaa salasanaa muualla.
- Tarkista tiliotteesi. Vaikka korttitietoja ei olisi paljastunut, pankkitapahtumien säännöllinen tarkastelu on hyvä käytäntö.
- Älä koskaan jaa koodeja. Asianmukaiset yritykset eivät pyydä 2FA-koodiasi tai koko korttinumeroasi viestitse.
- Ilmoita epäilyttävistä viesteistä ASOSille ja sähköpostipalveluntarjoajallesi, jotta ne voidaan suodattaa.
Yhteenveto
ASOS-tietomurto ja se, mitä sen suhteen pitäisi tehdä, tiivistyy valppauteen paniikin sijaan. ASOSin mukaan varastetut työntekijöiden tunnistetiedot paljastivat asiakkaiden yhteystiedot mutta eivät salasanoja tai kortteja, joten suurin vaara on kohdennettu tietojenkalastelu. Ota 2FA käyttöön, käytä salasananhallintaohjelmaa ja suhtaudu kaikkiin odottamattomiin ASOS-aiheisiin viesteihin epäilyttävinä, kunnes olet vahvistanut ne virallisen sovelluksen tai sivuston kautta. Nähdäksesi, miten tietomurtojen painostustaktiikat kehittyvät laajemmin, lue juttumme ATB DataSuckers -tapauksesta.
