ASOS ha confermato una violazione dei dati, e il suo aggiornamento dell'8 ottobre offre agli acquirenti il quadro più chiaro finora. Se ti stai chiedendo della violazione dei dati di ASOS e cosa fare dopo, la versione breve è questa: l'azienda afferma che credenziali di dipendenti rubate hanno portato all'esposizione dei dati di contatto dei clienti, e la sua indagine non ha rilevato alcun accesso alle password o alle carte di pagamento dei clienti. Questa è una notizia migliore di quanto sarebbe potuta essere, ma non è un motivo per ignorare l'incidente.

Cosa dice ASOS che è successo

Secondo l'aggiornamento sulla violazione dell'8 ottobre, l'incidente risale a credenziali di dipendenti rubate. In altre parole, gli attaccanti non hanno necessariamente violato con la forza i sistemi di ASOS rivolti ai clienti. Sono state ottenute credenziali appartenenti al personale, e tali credenziali erano collegate all'esposizione delle informazioni di contatto dei clienti.

L'aggiornamento segue un precedente avviso su un'app malevola, che col senno di poi sembra essere stato solo il primo segnale d'allarme. Le notizie sul caso suggeriscono che quel primo avviso fosse un indizio di un problema più grande piuttosto che la storia completa. ASOS ha successivamente pubblicato i risultati della sua indagine, ed è da lì che provengono i dettagli seguenti.

Nelle informazioni disponibili non abbiamo visto alcuna cifra su quanti clienti siano stati colpiti, quindi non ne ipotizzeremo una. Se ASOS pubblica un numero o ti contatta direttamente, considera quello come la fonte autorevole.

Cosa è stato esposto e cosa no

I punti chiave dell'indagine di ASOS:

  • Esposti: dati di contatto dei clienti.
  • Non accessibili, secondo ASOS: password dei clienti e dati delle carte di pagamento.

Questa distinzione è importante. Senza le password, gli attaccanti non possono semplicemente accedere al tuo account ASOS usando i dati di questo incidente. Senza i dati delle carte, non c'è una via diretta ai tuoi dettagli di pagamento attraverso questa violazione.

Vale la pena ricordare che questi sono i risultati dell'azienda stessa. Le indagini possono evolversi, e le aziende a volte aggiornano le loro conclusioni. Tieni d'occhio le comunicazioni ufficiali di ASOS piuttosto che affidarti alle voci sui social media.

Perché i dettagli di contatto esposti alimentano il phishing

I dettagli di contatto sembrano innocui, ma sono la materia prima per il phishing mirato. Quando un criminale conosce il tuo nome, il tuo indirizzo email o il tuo numero di telefono e sa che fai acquisti presso un determinato rivenditore, un messaggio falso diventa molto più convincente.

Aspettati messaggi che sembrano provenire da ASOS o da un servizio correlato. I modelli comuni includono:

  • Un avviso che il tuo account è stato bloccato e necessita di "verifica".
  • Un avviso di consegna o rimborso con un link a una pagina clone.
  • Un messaggio che fa riferimento alla violazione stessa e ti esorta a "mettere al sicuro il tuo account" inserendo la tua password o il numero della carta.

Quest'ultimo è il colpo di scena più crudele: l'annuncio della violazione diventa l'esca. Poiché ASOS afferma che password e carte non sono state consultate, qualsiasi messaggio che ti chieda di fornirle in risposta all'incidente dovrebbe destare immediato sospetto.

È anche qui che entra in gioco la questione della VPN, dal momento che molti lettori la chiedono dopo una violazione. Una VPN crittografa la tua connessione e nasconde il tuo indirizzo IP dai siti che visiti e dagli spioni della rete locale. Questo è utile, ma non impedisce a un'email di phishing di arrivare nella tua casella di posta, e non ti protegge se digiti volontariamente la tua password in una pagina falsa. Per questo incidente, una VPN affronta solo una fetta ristretta del rischio. Le tue abitudini contano molto di più.

Il modello più ampio di violazioni che si trasformano in campagne di pressione non è esclusivo del commercio al dettaglio. Per un contesto su come si sviluppa altrove, leggi la nostra copertura di l'incidente ATB, dove un gruppo che si definisce DataSuckers avrebbe richiesto 400.000 $.

Cosa significa per te

Se hai un account ASOS, la tua esposizione riguarda principalmente contatti indesiderati, non una perdita finanziaria diretta. In base a quanto ha affermato ASOS, la minaccia realistica è un messaggio truffaldino ben congegnato, non qualcuno che accede come te.

Detto questo, alcune cose aumentano il tuo rischio. Se riutilizzi la tua password ASOS su altri siti, un'altra violazione potrebbe comunque metterti in pericolo. Se tendi a cliccare rapidamente sui link nelle email o negli SMS, un convincente messaggio falso di ASOS ha più probabilità di funzionare su di te. E se il tuo indirizzo email è collegato a molti altri account, un phishing riuscito potrebbe innescare un effetto a catena.

Passi pratici per proteggere i tuoi account

  1. Tratta con sospetto i messaggi inattesi a tema ASOS. Non cliccare sui link nelle email o negli SMS. Apri l'app ASOS o digita tu stesso l'indirizzo nel browser.
  2. Attiva l'autenticazione a due fattori (2FA) sul tuo account ASOS se disponibile, e sul tuo account email, che è la chiave per reimpostare tutto il resto.
  3. Usa un gestore di password per creare una password unica per ogni sito. Anche se ASOS afferma che le password non sono state consultate, cambiare la tua è una precauzione a basso costo, soprattutto se l'hai riutilizzata altrove.
  4. Controlla i tuoi estratti conto. Anche senza esposizione dei dati della carta, una revisione regolare dell'attività bancaria è una buona pratica.
  5. Non condividere mai i codici. Le aziende legittime non ti chiederanno il tuo codice 2FA o il numero completo della carta via messaggio.
  6. Segnala i messaggi sospetti ad ASOS e al tuo provider di posta elettronica in modo che possano essere filtrati.

In conclusione

La violazione dei dati di ASOS, e cosa fare al riguardo, si riduce alla vigilanza piuttosto che al panico. ASOS afferma che credenziali di dipendenti rubate hanno esposto i dettagli di contatto dei clienti ma non le password o le carte, quindi il pericolo principale è il phishing mirato. Attiva la 2FA, usa un gestore di password e tratta qualsiasi messaggio inatteso a tema ASOS come sospetto finché non l'hai verificato tramite l'app o il sito ufficiale. Per vedere come le tattiche di pressione legate alle violazioni si sviluppano più in generale, leggi il nostro articolo su il caso ATB DataSuckers.