Az ASOS megerősítette az adatvédelmi incidenst, és az október 8-i frissítése adja eddig a legtisztább képet a vásárlók számára. Ha azon gondolkodsz, mi történt az ASOS adatvédelmi incidens során és mi a következő lépés, a rövid válasz ez: a cég szerint ellopott munkavállalói hitelesítő adatok vezettek a vásárlói kapcsolattartási adatok kiszivárgásához, és a vizsgálatuk nem talált bizonyítékot arra, hogy a vásárlói jelszavakhoz vagy bankkártyaadatokhoz hozzáfértek volna. Ez jobb hír, mint amilyen lehetett volna, de nem ok arra, hogy figyelmen kívül hagyd az incidenst.
Mit mond az ASOS arról, mi történt
Az október 8-i incidensfrissítés szerint az eset ellopott munkavállalói hitelesítő adatokra vezethető vissza. Más szóval, a támadók nem feltétlenül törték fel erőszakkal az ASOS vásárlói rendszereit. A munkatársakhoz tartozó hitelesítő adatokat megszerezték, és ezek a hitelesítő adatok kapcsolódtak a vásárlói kapcsolattartási adatok kiszivárgásához.
A frissítés egy korábbi rosszindulatú alkalmazásra vonatkozó riasztást követ, amely utólag úgy tűnik, csak az első figyelmeztető jel volt. Az esetről szóló tudósítások arra utalnak, hogy a korábbi riasztás egy nagyobb probléma előjele volt, nem pedig a teljes történet. Az ASOS azóta közzétette vizsgálati eredményeit, amelyekből az alábbi részletek származnak.
A rendelkezésre álló anyagokban nem láttunk arra vonatkozó adatot, hogy hány vásárlót érintett az incidens, ezért nem fogunk találgatni. Ha az ASOS közzétesz egy számot, vagy közvetlenül felveszi veled a kapcsolatot, azt tekintsd mérvadó forrásnak.
Mi szivárgott ki és mi nem
Az ASOS vizsgálatának kulcspontjai:
- Kiszivárgott: vásárlói kapcsolattartási adatok.
- Az ASOS szerint nem fértek hozzá: vásárlói jelszavak és bankkártyaadatok.
Ez a megkülönböztetés fontos. Jelszavak nélkül a támadók nem tudnak egyszerűen bejelentkezni az ASOS-fiókodba az incidensből származó adatokkal. Kártyaadatok nélkül nincs közvetlen út a fizetési adataidhoz ezen az incidensen keresztül.
Érdemes emlékezni arra, hogy ezek a cég saját megállapításai. A vizsgálatok fejlődhetnek, és a cégek néha frissítik a következtetéseiket. Figyeld az ASOS hivatalos kommunikációját a közösségi médiában terjedő pletykák helyett.
Miért táplálják a kiszivárgott kapcsolattartási adatok az adathalászatot
A kapcsolattartási adatok ártalmatlannak hangzanak, de ezek a célzott adathalászat nyersanyagai. Amikor egy bűnöző ismeri a nevedet, e-mail-címedet vagy telefonszámodat, és tudja, hogy egy adott kereskedőnél vásárolsz, egy hamis üzenet sokkal meggyőzőbbé válik.
Számíts olyan üzenetekre, amelyek úgy tűnnek, mintha az ASOS-tól vagy egy kapcsolódó szolgáltatástól érkeznének. Gyakori minták közé tartoznak:
- Figyelmeztetés, hogy a fiókodat zárolták, és „ellenőrzésre" van szükség.
- Szállítási vagy visszatérítési értesítés egy megtévesztő oldalra mutató hivatkozással.
- Az incidensre magára hivatkozó üzenet, amely arra sürget, hogy „biztosítsd a fiókodat" a jelszavad vagy kártyaszámod megadásával.
Az utóbbi a legkegyetlenebb csavar: az incidens bejelentése lesz a csali. Mivel az ASOS szerint a jelszavakhoz és kártyákhoz nem fértek hozzá, minden olyan üzenet, amely az incidensre válaszul kéri ezek megadását, azonnali gyanút kell keltsen.
Itt jön képbe a VPN kérdése is, mivel sok olvasó kérdez róla incidens után. A VPN titkosítja a kapcsolatodat és elrejti az IP-címedet a meglátogatott oldalak és a helyi hálózati leskelődők elől. Ez hasznos, de nem akadályozza meg, hogy egy adathalász e-mail megérkezzen a postaládádba, és nem véd meg, ha önként beírod a jelszavadat egy hamis oldalra. Ennél az incidensnél a VPN csak a kockázat szűk szeletét kezeli. A szokásaid sokkal fontosabbak.
Az incidensek nyomásgyakorló kampányokká alakulásának szélesebb mintázata nem csak a kiskereskedelemre jellemző. Ha szeretnéd megérteni, hogyan zajlik ez máshol, olvasd el az ATB-incidensről szóló tudósításunkat, ahol egy DataSuckers nevű csoport állítólag 400 000 dollárt követelt.
Mit jelent ez a számodra
Ha van ASOS-fiókod, a kitettséged elsősorban a nem kívánt kapcsolatfelvételről szól, nem közvetlen anyagi veszteségről. Az ASOS nyilatkozatai alapján a reális fenyegetés egy jól megírt csaló üzenet, nem az, hogy valaki bejelentkezik a helyedre.
Azonban néhány dolog növeli a kockázatodat. Ha ugyanazt az ASOS-jelszavadat használod más oldalakon, egy különálló incidens még mindig veszélybe sodorhat. Ha hajlamos vagy gyorsan kattintani az e-mailekben vagy szöveges üzenetekben lévő hivatkozásokra, egy meggyőző hamis ASOS-üzenet nagyobb valószínűséggel működik nálad. És ha az e-mail-címed sok más fiókhoz kapcsolódik, egy sikeres adathalászat láncreakciót indíthat el.
Gyakorlati lépések a fiókjaid védelméhez
- Kezeld gyanakvással a váratlan ASOS-témájú üzeneteket. Ne kattints az e-mailekben vagy szöveges üzenetekben lévő hivatkozásokra. Nyisd meg az ASOS alkalmazást, vagy írd be a címet a böngésződbe magad.
- Kapcsold be a kétfaktoros hitelesítést (2FA) az ASOS-fiókodon, ha elérhető, és az e-mail-fiókodon, amely a kulcs minden más visszaállításához.
- Használj jelszókezelőt, hogy minden oldalhoz egyedi jelszót hozz létre. Bár az ASOS szerint a jelszavakhoz nem fértek hozzá, a sajátod megváltoztatása alacsony költségű óvintézkedés, különösen ha máshol is használtad.
- Ellenőrizd a kivonataidat. Kártyaadatok kiszivárgása nélkül is jó gyakorlat a banki tevékenység rendszeres áttekintése.
- Soha ne oszd meg a kódokat. A legitim cégek nem kérik el a 2FA-kódodat vagy a teljes kártyaszámodat üzenetben.
- Jelentsd a gyanús üzeneteket az ASOS-nak és az e-mail-szolgáltatódnak, hogy szűrhessék őket.
A lényeg
Az ASOS adatvédelmi incidens és a teendők lényegében az éberségen múlnak, nem a pánikon. Az ASOS szerint ellopott munkavállalói hitelesítő adatok révén vásárlói kapcsolattartási adatok szivárogtak ki, de jelszavak és kártyák nem, így a fő veszély a célzott adathalászat. Kapcsold be a 2FA-t, használj jelszókezelőt, és kezeld a váratlan ASOS-témájú üzeneteket gyanúsként, amíg a hivatalos alkalmazáson vagy oldalon keresztül nem ellenőrizted. Ha szeretnéd látni, hogyan bontakoznak ki szélesebb körben az incidensek nyomásgyakorló taktikái, olvasd el az ATB DataSuckers-ügyről szóló cikkünket.
