ASOS je potvrdio povredu podataka, a njihovo ažuriranje od 8. listopada daje kupcima najjasniju sliku do sada. Ako se pitate o ASOS-ovoj povredi podataka i što učiniti sljedeće, kratka verzija je ova: tvrtka kaže da su ukradeni vjerodajnice zaposlenika dovele do izloženosti podataka o kontaktu kupaca, a njihova istraga nije pronašla pristup lozinkama kupaca ni platnim karticama. To je bolja vijest nego što je mogla biti, ali nije razlog da se incident ignorira.
Što ASOS kaže da se dogodilo
Prema ažuriranju o povredi od 8. listopada, incident seže do ukradenih vjerodajnica zaposlenika. Drugim riječima, napadači nisu nužno silom probili ASOS-ove sustave okrenute kupcima. Vjerodajnice koje su pripadale osoblju su pribavljene, a te su vjerodajnice bile povezane s izlaganjem kontaktnih podataka kupaca.
Ažuriranje slijedi nakon ranijeg upozorenja o zlonamjernoj aplikaciji, koje se unatrag gledano čini samo prvim znakom upozorenja. Izvještavanje o slučaju sugerira da je to rano upozorenje bilo nagovještaj većeg problema, a ne cijela priča. ASOS je od tada objavio nalaze svoje istrage, a upravo iz njih proizlaze pojedinosti u nastavku.
U dostupnim materijalima nismo vidjeli nikakav broj o tome koliko je kupaca pogođeno, pa nećemo nagađati o njemu. Ako ASOS objavi broj ili vas izravno kontaktira, to smatrajte mjerodavnim izvorom.
Što je bilo, a što nije bilo izloženo
Ključne točke iz ASOS-ove istrage:
- Izloženo: kontaktni podaci kupaca.
- Nije bilo pristupljeno, prema ASOS-u: lozinke kupaca i podaci o platnim karticama.
Ta razlika je važna. Bez lozinki napadači se ne mogu jednostavno prijaviti u vaš ASOS račun koristeći podatke iz ovog incidenta. Bez podataka o kartici ne postoji izravan put do vaših podataka o plaćanju kroz ovu povredu.
Vrijedi zapamtiti da su ovo nalazi same tvrtke. Istrage se mogu razvijati, a tvrtke ponekad ažuriraju svoje zaključke. Pratite službene komunikacije ASOS-a umjesto da se oslanjate na glasine s društvenih mreža.
Zašto izloženi kontaktni podaci potiču phishing
Kontaktni podaci zvuče bezopasno, ali oni su sirovina za ciljani phishing. Kada kriminalac zna vaše ime, adresu e-pošte ili broj telefona i zna da kupujete kod određenog trgovca, lažna poruka postaje mnogo uvjerljivija.
Očekujte poruke koje izgledaju kao da dolaze od ASOS-a ili od povezane usluge. Uobičajeni obrasci uključuju:
- Upozorenje da je vaš račun zaključan i da treba "verifikaciju".
- Obavijest o dostavi ili povratu novca s poveznicom na stranicu koja izgleda identično.
- Poruku koja spominje samu povredu i poziva vas da "osigurate svoj račun" unosom lozinke ili broja kartice.
To posljednje je najokrutniji obrat: objava o povredi postaje mamac. Budući da ASOS kaže da lozinkama i karticama nije bilo pristupljeno, svaka poruka koja od vas traži da ih dostavite kao odgovor na incident trebala bi odmah izazvati sumnju.
Ovdje se također nameće pitanje VPN-a, jer mnogi čitatelji pitaju o tome nakon povrede. VPN šifrira vašu vezu i skriva vašu IP adresu od stranica koje posjećujete i od lokalnih mrežnih znatiželjnika. To je korisno, ali ne sprječava da phishing e-pošta stigne u vaš pretinac, i ne štiti vas ako dobrovoljno upišete svoju lozinku na lažnu stranicu. Za ovaj incident VPN rješava samo uzak dio rizika. Vaše navike su daleko važnije.
Širi obrazac povreda koje se pretvaraju u kampanje pritiska nije jedinstven za trgovinu. Za kontekst o tome kako se to odvija drugdje, pogledajte našu reportažu o incidentu ATB, gdje je skupina koja sebe naziva DataSuckers navodno zahtijevala 400.000 dolara.
Što to znači za vas
Ako imate ASOS račun, vaša izloženost uglavnom se odnosi na neželjeni kontakt, a ne na izravan financijski gubitak. Na temelju onoga što je ASOS rekao, stvarna prijetnja je dobro sastavljena prijevarna poruka, a ne netko tko se prijavljuje kao vi.
Ipak, nekoliko stvari povećava vaš rizik. Ako svoju ASOS lozinku ponovno koristite na drugim stranicama, odvojena povreda mogla bi vas ipak dovesti u opasnost. Ako imate naviku brzo klikati poveznice u e-pošti ili porukama, uvjerljiva lažna ASOS poruka vjerojatnije će uspjeti na vama. A ako je vaša adresa e-pošte povezana s mnogim drugim računima, uspješan phishing mogao bi se kaskadno širiti.
Praktični koraci za zaštitu vaših računa
- Neočekivane poruke s ASOS tematikom tretirajte sa sumnjom. Ne klikajte poveznice u e-pošti ili porukama. Otvorite ASOS aplikaciju ili sami upišite adresu u preglednik.
- Omogućite dvofaktorsku autentifikaciju (2FA) na svom ASOS računu ako je dostupna, i na svom računu e-pošte, koji je ključ za resetiranje svega ostalog.
- Koristite upravitelj lozinkama za stvaranje jedinstvene lozinke za svaku stranicu. Iako ASOS kaže da lozinkama nije bilo pristupljeno, promjena vaše je jeftina mjera predostrožnosti, posebno ako ste je ponovno koristili drugdje.
- Provjerite svoje izvatke. Čak i bez izloženosti podataka o kartici, redovita provjera bankovne aktivnosti je dobra praksa.
- Nikada ne dijelite kodove. Legitimne tvrtke neće porukom tražiti vaš 2FA kod ili puni broj kartice.
- Prijavite sumnjive poruke ASOS-u i svom pružatelju usluga e-pošte kako bi ih mogli filtrirati.
Zaključak
ASOS-ova povreda podataka, i što učiniti u vezi s njom, svodi se na budnost, a ne na paniku. ASOS kaže da su ukradene vjerodajnice zaposlenika izložile kontaktne podatke kupaca, ali ne lozinke ni kartice, pa je glavna opasnost ciljani phishing. Uključite 2FA, koristite upravitelj lozinkama i svaku neočekivanu poruku s ASOS tematikom tretirajte kao sumnjivu dok je ne provjerite putem službene aplikacije ili stranice. Da vidite kako se taktike pritiska nakon povrede odvijaju u širem kontekstu, pročitajte naš članak o slučaju ATB DataSuckers.
