Si vous achetez chez ASOS, les derniers rapports méritent votre attention. Le détaillant de mode en ligne aurait subi une violation dans laquelle des pirates ont accédé aux bases de données clients, puis ont contacté directement des milliers de clients, cherchant à les entraîner dans des demandes de rançon. Si vous vous demandez ce qu'il faut faire face à la violation de données d'ASOS, la réponse courte est : restez calme, n'engagez aucune interaction avec les attaquants et renforcez dès aujourd'hui la sécurité de votre compte.

Cet article est basé sur un bref résumé de source, certains détails restent donc non confirmés. Nous n'avons rien affirmé au-delà de ce qui a été rapporté, et nous signalerons les points où le tableau est incomplet.

Ce qui a été rapporté dans la violation d'ASOS

Selon la source, le détaillant a été victime d'une cyberattaque très médiatisée dans laquelle des pirates ont compromis les bases de données clients. La partie inhabituelle est ce qui a suivi : au lieu de simplement tenter d'extorquer un paiement à l'entreprise, les attaquants auraient envoyé des messages directs à des milliers de clients pour les presser et les entraîner dans des demandes de rançon. L'incident a intensifié l'examen de la manière dont les détaillants protègent les données clients.

Des articles de recherche d'autres médias décrivent des clients recevant un message non autorisé via l'application ASOS, et ASOS déclarant enquêter sur une activité non autorisée. Nous n'avons pas vérifié ces informations de manière indépendante, et l'ampleur exacte des données concernées n'est pas détaillée dans notre source. Traitez avec prudence toute affirmation sur ce qui a été précisément dérobé jusqu'à ce qu'ASOS publie ses propres conclusions.

La source mentionne également l'extorsion de Bank Sepah aux côtés de l'incident ASOS, présentant les deux comme faisant partie d'un schéma plus large de cybercriminalité liée aux données. Aucun autre détail sur cette affaire n'est fourni, nous ne spéculerons donc pas à ce sujet ici.

Comment repérer les messages d'extorsion et d'hameçonnage après une violation

Lorsque les attaquants disposent déjà de vos coordonnées, les messages de suivi peuvent être convaincants. Surveillez ces signes :

  • La pression et les délais. Les menaces de divulguer vos données si vous ne répondez pas ou ne payez pas dans les heures qui suivent sont une tactique d'extorsion classique.
  • Des liens ou pièces jointes inattendus. Un message prétendant concerner votre compte ASOS et vous demandant de cliquer sur un lien pour le « sécuriser » est une manœuvre d'hameçonnage courante.
  • Des demandes de coordonnées bancaires ou de mots de passe. Un véritable détaillant ne vous demandera pas d'envoyer des mots de passe ou des numéros de carte complets par message.
  • Des canaux inhabituels. Les SMS, messages privés sur les réseaux sociaux ou e-mails provenant d'adresses qui ne correspondent pas aux communications habituelles du détaillant méritent une suspicion accrue.
  • Des données personnelles utilisées comme preuve. Les attaquants peuvent citer votre nom ou votre e-mail pour paraître crédibles. Le fait de disposer de ces informations ne signifie pas que l'expéditeur est légitime, seulement qu'il peut avoir une copie des données divulguées.

Le point essentiel concernant les messages d'extorsion est que vous n'avez aucune obligation d'y répondre. Ne payez pas, ne répondez pas et ne cliquez sur rien. Prenez des captures d'écran, signalez le message à la plateforme sur laquelle il est arrivé et supprimez-le.

Étapes pour sécuriser vos comptes dès maintenant

Voici une liste de vérification pratique si vous avez un compte ASOS :

  1. Changez votre mot de passe ASOS. Rendez-le long et unique, pas une variante d'un ancien.
  2. Remplacez tous les mots de passe réutilisés. Si vous avez utilisé le même mot de passe sur d'autres sites, changez-les aussi, en commençant par l'e-mail et les services bancaires. Les attaquants essaient souvent les identifiants divulgués ailleurs.
  3. Activez l'authentification multifacteur (MFA) partout où elle est proposée, en particulier sur votre compte e-mail, qui peut servir à réinitialiser presque tout le reste.
  4. Passez votre compte en revue. Vérifiez l'historique des commandes, les adresses enregistrées et les moyens de paiement stockés pour tout ce que vous ne reconnaissez pas.
  5. Surveillez vos relevés bancaires et de carte. Signalez rapidement les débits suspects à votre banque et demandez si le remplacement de votre carte est judicieux.
  6. Vérifiez les contacts via les canaux officiels. Si un message prétend venir d'ASOS, n'utilisez pas les liens qu'il contient. Ouvrez l'application officielle ou tapez vous-même l'adresse du site web, ou utilisez les coordonnées figurant sur le site du détaillant lui-même.
  7. Mettez à jour l'application et votre téléphone. Maintenir les logiciels à jour comble les failles de sécurité connues.

Un gestionnaire de mots de passe facilite grandement les étapes 1 et 2, puisqu'il peut générer et stocker un mot de passe unique pour chaque compte.

Pourquoi les campagnes d'extorsion de données ciblent directement les consommateurs

Traditionnellement, les gangs de rançongiciels cherchaient à faire pression sur l'organisation qui détenait les données. Contacter directement les clients ajoute un second levier : si suffisamment de personnes sont alarmées, l'entreprise peut se sentir davantage poussée à négocier. Cela donne aussi aux attaquants un moyen d'escroquer les individus directement. Les rapports sur ASOS, placés aux côtés de l'extorsion de Bank Sepah dans la source, indiquent un schéma plus large dans lequel les données volées servent de levier dans plusieurs directions.

L'extorsion n'est d'ailleurs pas toujours le fait d'acteurs anonymes extérieurs. Notre couverture d'un ancien sous-traitant emprisonné pour un stratagème d'extorsion de 2,5 M$ et d'une affaire de menace interne ayant abouti à la prison après une demande de 750 K$ montre comment ces menaces peuvent se dérouler et comment elles sont traitées en justice. Ces affaires présentent des circonstances différentes de celles d'ASOS, mais elles offrent un contexte utile sur le fonctionnement de l'extorsion et sur les raisons pour lesquelles payer ou engager le dialogue aide rarement.

Ce que cela signifie pour vous

Une violation chez un détaillant que vous utilisez signifie que vos coordonnées peuvent circuler, même si vos données de paiement sont intactes. Le risque pratique dans les semaines à venir concerne moins l'attaque initiale que les messages frauduleux convaincants qui la suivent. Partez du principe que tout message inattendu mentionnant ASOS, des remboursements, des problèmes de compte ou des données divulguées pourrait être hostile jusqu'à ce que vous le vérifiiez vous-même.

Points clés à retenir

Si vous vous demandez que faire face à la violation de données d'ASOS, commencez ici :

  • Changez dès aujourd'hui votre mot de passe ASOS et tout mot de passe réutilisé.
  • Activez la MFA sur vos comptes e-mail, bancaires et d'achats.
  • Ne répondez jamais à quiconque vous menace au sujet de données divulguées, et ne payez jamais.
  • Vérifiez tout contact lié à ASOS en vous rendant directement sur l'application ou le site web officiels.
  • Surveillez vos relevés et lisez notre couverture des affaires d'extorsion pour en savoir plus sur la manière dont ces menaces se déroulent.

Quelques minutes consacrées à l'entretien de vos comptes dès maintenant peuvent neutraliser la majeure partie de ce qui suit une violation comme celle-ci.