Les clients du détaillant en ligne britannique ASOS ont ouvert leur téléphone sur un message inhabituel : une alerte « ASOS HACKED », diffusée via l'application mobile de l'entreprise elle-même. La notification push liée à la fuite de données d'ASOS serait une tentative d'extorsion, et des noms ainsi que des coordonnées pourraient être exposés. Voici ce que nous savons, pourquoi cette tactique fonctionne, et ce que vous pouvez faire avant l'arrivée d'éventuelles arnaques de suivi.
Ce que disait l'alerte push « ASOS HACKED » et ce qui pourrait être exposé
Selon les informations rapportées, des maîtres chanteurs ont diffusé une alerte « ASOS HACKED » via l'application du détaillant. Le message semble avoir été une exigence publique, envoyée directement sur les téléphones des clients plutôt qu'à l'entreprise en privé. Notre article connexe sur la manière dont les actions ASOS ont chuté après que l'alerte push de rançon a touché les utilisateurs de l'application examine la réaction du marché.
Les informations susceptibles d'être exposées comprennent les noms et les coordonnées des clients. La source ne précise pas exactement combien de personnes sont concernées ni quels champs ont été dérobés, et nous n'allons pas spéculer. Considérez la situation comme évolutive : les détails peuvent changer à mesure que l'entreprise et les enquêteurs en apprennent davantage.
Le point essentiel pour les lecteurs est pratique. Même si les données exposées se limitent aux noms et aux coordonnées, cela suffit pour des arnaques convaincantes.
Pourquoi une notification push provenant d'une application de confiance est un puissant levier de phishing
La plupart des gens ont appris à se méfier des courriels et des SMS étranges. Moins nombreux sont ceux qui sont entraînés à douter d'une notification qui apparaît sur l'écran verrouillé sous l'icône de l'application d'une marque. C'est ce qui rend cet incident notable.
Une alerte push arrive par un canal que l'utilisateur a déjà approuvé. Elle porte le nom et le logo du détaillant, et elle ne passe pas par un filtre anti-spam comme le ferait un courriel. Si des attaquants peuvent envoyer des messages via ce canal, ils empruntent la confiance que la marque a bâtie auprès de ses clients.
Plusieurs raisons expliquent pourquoi cela compte au-delà de ce seul événement :
- Authenticité implicite. Les utilisateurs supposent raisonnablement qu'un message provenant de l'intérieur d'une application vient de l'entreprise.
- Urgence. Une alerte courte et alarmante pousse les gens à réagir rapidement, ce qui est le but de la plupart des techniques d'ingénierie sociale.
- Potentiel de suivi. Une fois que les attaquants détiennent des noms et des coordonnées, ils peuvent associer une alerte réelle à des courriels ou des SMS qui ressemblent à une réponse officielle.
Le dernier point est celui pour lequel il faut se préparer. L'alerte elle-même est une tactique de pression, mais le risque durable pour les individus réside dans le phishing qui tend à suivre une exposition de données.
Comment distinguer un véritable avis de violation d'un suivi de phishing
Après un incident comme celui-ci, les communications authentiques de l'entreprise et les messages frauduleux arriveront souvent dans la même semaine. Certaines habitudes vous aident à faire le tri.
N'agissez pas à partir du message lui-même. Si un courriel, un SMS ou une notification vous demande de vous connecter, de confirmer des informations ou de payer quoi que ce soit, n'utilisez pas le lien ni le numéro qu'il fournit. Ouvrez l'application officielle ou tapez vous-même l'adresse du détaillant dans votre navigateur.
Méfiez-vous de l'urgence et des menaces. Les vrais avis expliquent ce qui s'est passé et ce que vous pouvez faire. Les messages qui exigent une action immédiate, menacent de fermer votre compte ou promettent des remboursements en échange d'un clic rapide méritent la suspicion.
Vérifiez comment le message s'adresse à vous. Les attaquants qui détiennent votre nom peuvent l'utiliser pour paraître personnels. Un nom correct n'est pas une preuve qu'un message est légitime.
Soyez attentif aux demandes de données sensibles. Un détaillant ne devrait pas vous demander votre mot de passe complet, un code à usage unique ou vos coordonnées bancaires en réponse à une violation.
Rappelez-vous que l'alerte elle-même n'est pas un guide. Une alerte push inattendue, même apparaissant dans la vraie application, ne doit pas être traitée comme une instruction de cliquer ou d'appeler quoi que ce soit qu'elle contient. Attendez des consignes confirmées via le site web ou l'application officiels de l'entreprise.
Ce que cela signifie pour vous
Si vous avez un compte ASOS, partez du principe que votre nom et vos coordonnées pourraient circuler et préparez-vous à recevoir davantage de messages non sollicités. Cela ne signifie pas que votre compte a été détourné, et la source n'indique pas que des mots de passe ont été exposés. Mais des précautions raisonnables coûtent peu et réduisent les dégâts si davantage de détails émergent.
Si vous réutilisez votre mot de passe ASOS ailleurs, c'est le plus grand risque immédiat à corriger. Les attaquants essaient couramment des identifiants connus sur d'autres sites, donc un maillon faible peut se propager.
Mesures que les clients ASOS devraient prendre maintenant : mots de passe, 2FA et surveillance
- Changez votre mot de passe ASOS. Utilisez-en un long et unique que vous n'utilisez nulle part ailleurs. Un gestionnaire de mots de passe facilite les choses.
- Activez l'authentification à deux facteurs là où elle est proposée sur votre compte ASOS et sur votre compte de messagerie, car le courriel est souvent la clé pour réinitialiser tout le reste.
- Changez les mots de passe réutilisés. Si vous avez utilisé le même mot de passe sur d'autres services, mettez-les également à jour.
- Passez votre compte en revue. Vérifiez les adresses enregistrées, les moyens de paiement et les commandes récentes à la recherche de tout élément inhabituel.
- Surveillez vos relevés bancaires et de carte. Signalez rapidement à votre prestataire tout ce que vous ne reconnaissez pas.
- Traitez les messages inattendus avec suspicion. Supprimez ou ignorez les courriels et SMS qui mentionnent la violation et vous demandent d'agir. Passez directement par les canaux officiels.
- Maintenez votre application à jour et fiez-vous aux déclarations officielles du détaillant pour vous guider.
À retenir
La notification push liée à la fuite de données d'ASOS montre comment un canal de confiance peut être retourné contre les personnes qui s'y fient. La meilleure réponse est calme et pratique : changez votre mot de passe ASOS, activez l'authentification à deux facteurs et traitez tout message non sollicité concernant la violation avec suspicion jusqu'à ce que vous l'ayez vérifié vous-même. Pour les derniers développements, suivez notre article connexe sur l'alerte push de rançon d'ASOS et son impact sur le marché.
