Qu'est-ce qui a causé la fuite de données ASOS ?

Selon la mise à jour du 8 octobre, la fuite remonte à des identifiants d'employés volés, qui étaient liés à l'exposition des informations de contact des clients.

Mon mot de passe et les détails de ma carte de paiement ont-ils été exposés ?

L'enquête d'ASOS n'a révélé aucun accès aux mots de passe des clients ni aux détails des cartes de paiement ; seules les données de contact des clients ont été exposées.

Combien de clients ont été touchés par la fuite ?

Aucun chiffre sur le nombre de clients touchés n'était disponible dans les éléments fournis, l'article ne s'aventure donc pas à en deviner un.

Pourquoi devrais-je m'inquiéter de l'exposition de mes coordonnées ?

Les coordonnées constituent la matière première d'un hameçonnage ciblé, permettant aux criminels de créer des faux messages convaincants qui semblent provenir d'ASOS.

Fuite de données ASOS : que faire après la mise à jour du 8 octobre

Q: Dois-je fournir mon mot de passe ou mon numéro de carte si ASOS me le demande après la fuite ?

Non, puisque ASOS affirme que les mots de passe et les cartes n'ont pas été consultés, tout message vous demandant de les fournir en réponse à l'incident devrait immédiatement éveiller vos soupçons.

ASOS a confirmé une fuite de données, et sa mise à jour du 8 octobre offre aux acheteurs l'image la plus claire à ce jour. Si vous vous interrogez sur la fuite de données ASOS et sur ce qu'il faut faire ensuite, la version courte est la suivante : l'entreprise affirme que des identifiants d'employés volés ont conduit à l'exposition de données de contact clients, et son enquête n'a révélé aucun accès aux mots de passe ou aux cartes de paiement des clients. C'est une meilleure nouvelle que ce qu'elle aurait pu être, mais ce n'est pas une raison pour ignorer l'incident.

Ce qu'ASOS dit s'être passé

Selon la mise à jour du 8 octobre sur la fuite, l'incident remonte à des identifiants d'employés volés. En d'autres termes, les attaquants n'ont pas nécessairement percé de force les systèmes d'ASOS destinés aux clients. Des identifiants appartenant à des membres du personnel ont été obtenus, et ces identifiants étaient liés à l'exposition des informations de contact des clients.

Cette mise à jour fait suite à une alerte antérieure concernant une application frauduleuse, qui, avec le recul, semble n'avoir été que le premier signe avant-coureur. Les reportages autour de l'affaire suggèrent que cette première alerte était un indice d'un problème plus vaste plutôt que l'histoire complète. ASOS a depuis publié les conclusions de son enquête, d'où proviennent les détails ci-dessous.

Nous n'avons vu aucun chiffre sur le nombre de clients touchés dans les éléments disponibles, nous n'allons donc pas en deviner un. Si ASOS publie un chiffre ou vous contacte directement, considérez cela comme la source faisant autorité.

Ce qui a été exposé et ce qui ne l'a pas été

Les points clés de l'enquête d'ASOS :

Exposé : les données de contact des clients.
Non consulté, selon ASOS : les mots de passe des clients et les détails des cartes de paiement.

Cette distinction est importante. Sans mots de passe, les attaquants ne peuvent pas simplement se connecter à votre compte ASOS à l'aide des données de cet incident. Sans données de carte, il n'y a pas de voie directe vers vos informations de paiement via cette fuite.

Il convient de rappeler qu'il s'agit des conclusions de l'entreprise elle-même. Les enquêtes peuvent évoluer, et les entreprises modifient parfois leurs conclusions. Surveillez les communications officielles d'ASOS plutôt que de vous fier aux rumeurs sur les réseaux sociaux.

Pourquoi les coordonnées exposées alimentent l'hameçonnage

Les coordonnées semblent inoffensives, mais elles constituent la matière première d'un hameçonnage ciblé. Lorsqu'un criminel connaît votre nom, votre adresse e-mail ou votre numéro de téléphone et sait que vous achetez chez un détaillant spécifique, un faux message devient beaucoup plus convaincant.

Attendez-vous à des messages qui semblent provenir d'ASOS ou d'un service associé. Les schémas courants incluent :

Un avertissement indiquant que votre compte a été verrouillé et nécessite une « vérification ».
Un avis de livraison ou de remboursement avec un lien vers une page imitation.
Un message faisant référence à la fuite elle-même et vous exhortant à « sécuriser votre compte » en saisissant votre mot de passe ou votre numéro de carte.

Ce dernier point est le plus cruel : l'annonce de la fuite devient l'appât. Puisqu'ASOS affirme que les mots de passe et les cartes n'ont pas été consultés, tout message vous demandant de les fournir en réponse à l'incident devrait immédiatement éveiller vos soupçons.

C'est aussi là que la question du VPN intervient, car de nombreux lecteurs s'interrogent à ce sujet après une fuite. Un VPN chiffre votre connexion et masque votre adresse IP aux sites que vous visitez et aux curieux du réseau local. C'est utile, mais cela n'empêche pas un e-mail d'hameçonnage d'arriver dans votre boîte de réception, et cela ne vous protège pas si vous saisissez volontairement votre mot de passe sur une fausse page. Pour cet incident, un VPN ne couvre qu'une petite partie du risque. Vos habitudes comptent bien davantage.

Le schéma plus large des fuites qui se transforment en campagnes de pression n'est pas propre au commerce de détail. Pour un contexte sur la façon dont cela se déroule ailleurs, consultez notre couverture de l'incident ATB, où un groupe se faisant appeler DataSuckers aurait exigé 400 000 $.

Ce que cela signifie pour vous

Si vous avez un compte ASOS, votre exposition concerne principalement des contacts indésirables, et non une perte financière directe. D'après ce qu'ASOS a déclaré, la menace réaliste est un message frauduleux bien conçu, et non quelqu'un qui se connecte à votre place.

Cela dit, quelques éléments augmentent votre risque. Si vous réutilisez votre mot de passe ASOS sur d'autres sites, une autre fuite pourrait encore vous mettre en danger. Si vous avez tendance à cliquer rapidement sur les liens dans les e-mails ou les SMS, un faux message ASOS convaincant a plus de chances de fonctionner sur vous. Et si votre adresse e-mail est liée à de nombreux autres comptes, un hameçonnage réussi pourrait avoir un effet domino.

Étapes pratiques pour protéger vos comptes

Traitez les messages inattendus liés à ASOS avec méfiance. Ne cliquez pas sur les liens dans les e-mails ou les SMS. Ouvrez l'application ASOS ou tapez vous-même l'adresse dans votre navigateur.
Activez l'authentification à deux facteurs (2FA) sur votre compte ASOS si elle est disponible, et sur votre compte e-mail, qui est la clé pour réinitialiser tout le reste.
Utilisez un gestionnaire de mots de passe pour créer un mot de passe unique pour chaque site. Même si ASOS affirme que les mots de passe n'ont pas été consultés, changer le vôtre est une précaution peu coûteuse, surtout si vous le réutilisiez ailleurs.
Vérifiez vos relevés. Même sans exposition des données de carte, un examen régulier de l'activité bancaire est une bonne pratique.
Ne partagez jamais vos codes. Les entreprises légitimes ne vous demanderont pas votre code 2FA ou votre numéro de carte complet par message.
Signalez les messages suspects à ASOS et à votre fournisseur d'e-mail afin qu'ils puissent être filtrés.

L'essentiel

La fuite de données ASOS, et ce qu'il faut faire à ce sujet, se résume à la vigilance plutôt qu'à la panique. ASOS affirme que des identifiants d'employés volés ont exposé les coordonnées des clients mais pas les mots de passe ni les cartes, de sorte que le principal danger est l'hameçonnage ciblé. Activez la 2FA, utilisez un gestionnaire de mots de passe et traitez tout message inattendu lié à ASOS comme suspect jusqu'à ce que vous l'ayez vérifié via l'application ou le site officiel. Pour voir comment les tactiques de pression liées aux fuites se déploient plus largement, lisez notre article sur l'affaire ATB DataSuckers.