ASOS telah mengonfirmasi adanya kebocoran data, dan pembaruan mereka pada 8 Oktober memberikan gambaran paling jelas sejauh ini. Jika Anda bertanya-tanya tentang kebocoran data ASOS dan apa yang harus dilakukan selanjutnya, versi singkatnya adalah ini: perusahaan mengatakan kredensial karyawan yang dicuri menyebabkan tereksposnya data kontak pelanggan, dan investigasinya tidak menemukan akses ke kata sandi atau kartu pembayaran pelanggan. Itu adalah kabar yang lebih baik daripada yang mungkin terjadi, tetapi bukan alasan untuk mengabaikan insiden ini.
Apa yang ASOS Katakan Terjadi
Menurut pembaruan kebocoran 8 Oktober, insiden ini bermula dari kredensial karyawan yang dicuri. Dengan kata lain, para penyerang tidak harus menerobos sistem ASOS yang menghadap pelanggan dengan paksa. Kredensial milik staf diperoleh, dan kredensial tersebut terkait dengan tereksposnya informasi kontak pelanggan.
Pembaruan ini menyusul peringatan aplikasi nakal sebelumnya, yang tampaknya hanya merupakan tanda peringatan pertama. Pemberitaan seputar kasus ini menunjukkan bahwa peringatan awal itu adalah pertanda masalah yang lebih besar, bukan keseluruhan cerita. ASOS sejak itu telah menerbitkan temuan investigasinya, dan dari situlah detail di bawah ini berasal.
Kami tidak melihat angka berapa banyak pelanggan yang terdampak dalam materi yang tersedia, jadi kami tidak akan menebak-nebak. Jika ASOS menerbitkan angka atau menghubungi Anda secara langsung, anggap itu sebagai sumber yang otoritatif.
Apa yang Terekspos dan Tidak
Poin-poin utama dari investigasi ASOS:
- Terekspos: data kontak pelanggan.
- Tidak diakses, menurut ASOS: kata sandi pelanggan dan detail kartu pembayaran.
Perbedaan itu penting. Tanpa kata sandi, penyerang tidak bisa begitu saja masuk ke akun ASOS Anda menggunakan data dari insiden ini. Tanpa data kartu, tidak ada jalur langsung ke detail pembayaran Anda melalui kebocoran ini.
Perlu diingat bahwa ini adalah temuan perusahaan sendiri. Investigasi bisa berkembang, dan perusahaan terkadang memperbarui kesimpulan mereka. Pantau terus komunikasi resmi ASOS daripada mengandalkan rumor di media sosial.
Mengapa Detail Kontak yang Terekspos Memicu Phishing
Detail kontak terdengar tidak berbahaya, tetapi itu adalah bahan mentah untuk phishing yang tertarget. Ketika seorang penjahat mengetahui nama, alamat email, atau nomor telepon Anda dan tahu Anda berbelanja di peritel tertentu, pesan palsu menjadi jauh lebih meyakinkan.
Perkirakan pesan-pesan yang tampak berasal dari ASOS atau dari layanan terkait. Pola umum meliputi:
- Peringatan bahwa akun Anda telah dikunci dan perlu "verifikasi."
- Pemberitahuan pengiriman atau pengembalian dana dengan tautan ke halaman serupa.
- Pesan yang merujuk pada kebocoran itu sendiri dan mendesak Anda untuk "mengamankan akun Anda" dengan memasukkan kata sandi atau nomor kartu Anda.
Yang terakhir itu adalah twist paling kejam: pengumuman kebocoran menjadi umpannya. Karena ASOS mengatakan kata sandi dan kartu tidak diakses, setiap pesan yang meminta Anda memberikan keduanya sebagai respons terhadap insiden ini harus langsung menimbulkan kecurigaan.
Di sinilah pertanyaan tentang VPN muncul, karena banyak pembaca menanyakannya setelah kebocoran. VPN mengenkripsi koneksi Anda dan menyembunyikan alamat IP Anda dari situs yang Anda kunjungi dan dari pengintai jaringan lokal. Itu berguna, tetapi tidak menghentikan email phishing masuk ke kotak masuk Anda, dan tidak melindungi Anda jika Anda secara sukarela mengetikkan kata sandi Anda ke halaman palsu. Untuk insiden ini, VPN hanya mengatasi sebagian kecil dari risiko. Kebiasaan Anda jauh lebih penting.
Pola yang lebih luas di mana kebocoran berubah menjadi kampanye tekanan bukanlah hal yang unik di ritel. Untuk konteks tentang bagaimana hal itu terjadi di tempat lain, lihat liputan kami tentang insiden ATB, di mana kelompok yang menyebut diri mereka DataSuckers dilaporkan menuntut $400K.
Apa Artinya Bagi Anda
Jika Anda memiliki akun ASOS, paparan Anda terutama tentang kontak yang tidak diinginkan, bukan kerugian finansial langsung. Berdasarkan apa yang dikatakan ASOS, ancaman realistisnya adalah pesan penipuan yang dibuat dengan baik, bukan seseorang yang masuk sebagai Anda.
Meski begitu, beberapa hal meningkatkan risiko Anda. Jika Anda menggunakan ulang kata sandi ASOS Anda di situs lain, kebocoran terpisah masih bisa membahayakan Anda. Jika Anda cenderung mengklik tautan di email atau SMS dengan cepat, pesan ASOS palsu yang meyakinkan lebih mungkin berhasil pada Anda. Dan jika alamat email Anda terhubung ke banyak akun lain, phishing yang berhasil bisa berdampak berantai.
Langkah Praktis untuk Melindungi Akun Anda
- Perlakukan pesan bertema ASOS yang tidak terduga dengan curiga. Jangan klik tautan di email atau SMS. Buka aplikasi ASOS atau ketik sendiri alamatnya di browser Anda.
- Aktifkan autentikasi dua faktor (2FA) di akun ASOS Anda jika tersedia, dan di akun email Anda, yang merupakan kunci untuk mereset semua yang lain.
- Gunakan pengelola kata sandi untuk membuat kata sandi unik untuk setiap situs. Meskipun ASOS mengatakan kata sandi tidak diakses, mengubahnya adalah tindakan pencegahan berbiaya rendah, terutama jika Anda menggunakannya ulang di tempat lain.
- Periksa laporan Anda. Meskipun tanpa paparan data kartu, peninjauan rutin aktivitas bank adalah praktik yang baik.
- Jangan pernah bagikan kode. Perusahaan yang sah tidak akan meminta kode 2FA atau nomor kartu lengkap Anda melalui pesan.
- Laporkan pesan mencurigakan ke ASOS dan ke penyedia email Anda agar dapat difilter.
Intinya
Kebocoran data ASOS, dan apa yang harus dilakukan tentangnya, bermuara pada kewaspadaan daripada panik. ASOS mengatakan kredensial karyawan yang dicuri mengekspos detail kontak pelanggan tetapi bukan kata sandi atau kartu, jadi bahaya utamanya adalah phishing yang tertarget. Aktifkan 2FA, gunakan pengelola kata sandi, dan perlakukan setiap pesan bertema ASOS yang tidak terduga sebagai mencurigakan sampai Anda memverifikasinya melalui aplikasi atau situs resmi. Untuk melihat bagaimana taktik tekanan kebocoran terjadi secara lebih luas, baca artikel kami tentang kasus ATB DataSuckers.
