I clienti del rivenditore online britannico ASOS hanno aperto i loro telefoni trovando un messaggio insolito: un avviso 'ASOS HACKED', recapitato tramite l'app mobile dell'azienda. La notifica push sulla violazione dei dati di ASOS sarebbe un tentativo di estorsione, e nomi e recapiti potrebbero essere esposti. Ecco cosa sappiamo, perché questa tattica funziona e cosa potete fare prima che arrivino eventuali truffe successive.
Cosa diceva l'avviso push 'ASOS HACKED' e cosa potrebbe essere esposto
Secondo quanto riportato, gli estorsori hanno inviato un avviso 'ASOS HACKED' attraverso l'app del rivenditore. Il messaggio sembra essere stata una richiesta pubblica, inviata direttamente ai telefoni dei clienti anziché all'azienda in privato. La nostra copertura correlata su come le azioni ASOS sono cadute dopo che l'avviso push ransomware ha colpito gli utenti dell'app esamina la reazione del mercato.
Le informazioni che potrebbero essere esposte includono nomi e recapiti dei clienti. La fonte non dice con precisione quante persone siano coinvolte né esattamente quali campi siano stati prelevati, e non intendiamo fare supposizioni. Trattate la situazione come fluida: i dettagli possono cambiare man mano che l'azienda e gli investigatori scoprono di più.
Il punto chiave per i lettori è pratico. Anche se i dati esposti si limitassero a nomi e recapiti, sarebbe sufficiente per truffe convincenti.
Perché una notifica push da un'app affidabile è una potente leva di phishing
La maggior parte delle persone ha imparato a diffidare di email e messaggi di testo strani. Meno persone sono abituate a dubitare di una notifica che appare sulla schermata di blocco sotto l'icona dell'app di un marchio. È questo che rende l'incidente degno di nota.
Un avviso push arriva attraverso un canale che l'utente ha già approvato. Porta il nome e il logo del rivenditore, e non passa attraverso un filtro antispam come farebbe un'email. Se gli aggressori riescono a inviare messaggi attraverso quel canale, si appropriano della fiducia che il marchio ha costruito con i suoi clienti.
Ci sono alcune ragioni per cui questo conta al di là di questo singolo evento:
- Autenticità implicita. Gli utenti presumono ragionevolmente che un messaggio proveniente dall'interno di un'app arrivi dall'azienda.
- Urgenza. Un avviso breve e allarmante spinge le persone a reagire rapidamente, che è lo scopo della maggior parte delle tecniche di ingegneria sociale.
- Potenziale di follow-on. Una volta che gli aggressori hanno nomi e recapiti, possono abbinare un avviso reale a email o messaggi che sembrano una risposta ufficiale.
L'ultimo punto è quello per cui prepararsi. L'avviso in sé è una tattica di pressione, ma il rischio duraturo per gli individui è il phishing che tende a seguire un'esposizione dei dati.
Come distinguere una vera notifica di violazione da un seguito di phishing
Dopo un incidente come questo, le comunicazioni autentiche dell'azienda e i messaggi truffaldini arriveranno spesso nella stessa settimana. Alcune abitudini aiutano a distinguerli.
Non agite dal messaggio stesso. Se un'email, un SMS o una notifica vi chiede di accedere, confermare dati o pagare qualcosa, non usate il link o il numero che fornisce. Aprite l'app ufficiale o digitate voi stessi l'indirizzo del rivenditore nel browser.
Diffidate di urgenza e minacce. Le notifiche reali spiegano cosa è successo e cosa potete fare. I messaggi che richiedono azione immediata, minacciano la chiusura dell'account o promettono rimborsi per un clic veloce meritano sospetto.
Controllate come il messaggio si rivolge a voi. Gli aggressori che possiedono il vostro nome potrebbero usarlo per sembrare personali. Un nome corretto non è prova che un messaggio sia legittimo.
Attenzione alle richieste di dati sensibili. Un rivenditore non dovrebbe chiedere la vostra password completa, un codice monouso o i dati della carta in risposta a una violazione.
Ricordate che l'avviso stesso non è una guida. Un avviso push inaspettato, anche uno che appare nella vera app, non dovrebbe essere trattato come un'istruzione a cliccare o chiamare qualsiasi cosa contenga. Aspettate indicazioni confermate attraverso il sito web ufficiale o l'app dell'azienda.
Cosa significa per voi
Se avete un account ASOS, date per scontato che il vostro nome e i vostri recapiti possano essere in circolazione e preparatevi a ricevere più messaggi non richiesti. Ciò non significa che il vostro account sia stato compromesso, e la fonte non dice che le password siano state esposte. Ma precauzioni sensate costano poco e riducono i danni se emergeranno più dettagli.
Se riutilizzate la vostra password ASOS altrove, questo è il più grande rischio immediato da risolvere. Gli aggressori provano comunemente credenziali note su altri siti, quindi un solo anello debole può propagarsi.
Passi che i clienti ASOS dovrebbero fare ora: password, 2FA e monitoraggio
- Cambiate la vostra password ASOS. Usatene una lunga e unica che non usate da nessun'altra parte. Un gestore di password lo rende più facile.
- Attivate l'autenticazione a due fattori dove è offerta sul vostro account ASOS e sul vostro account email, poiché l'email è spesso la chiave per reimpostare tutto il resto.
- Cambiate le password riutilizzate. Se avete usato la stessa password su altri servizi, aggiornate anche quelle.
- Esaminate il vostro account. Controllate indirizzi salvati, metodi di pagamento e ordini recenti per qualsiasi cosa non familiare.
- Monitorate gli estratti conto bancari e delle carte. Segnalate prontamente al vostro fornitore qualsiasi cosa non riconosciate.
- Trattate i messaggi inaspettati con sospetto. Eliminate o ignorate email e SMS che menzionano la violazione e vi chiedono di agire. Andate invece direttamente ai canali ufficiali.
- Mantenete aggiornata la vostra app e affidatevi alle dichiarazioni ufficiali del rivenditore per le indicazioni.
Il punto chiave
La notifica push sulla violazione dei dati di ASOS mostra come un canale affidabile possa essere trasformato contro le persone che vi si affidano. La risposta migliore è calma e pratica: cambiate la vostra password ASOS, abilitate l'autenticazione a due fattori e trattate qualsiasi messaggio non richiesto sulla violazione con sospetto finché non l'avete verificato voi stessi. Per gli ultimi sviluppi, seguite la nostra copertura correlata su l'avviso push ransomware di ASOS e il suo impatto sul mercato.
