ASOSはデータ侵害を確認し、10月8日のアップデートでこれまでで最も明確な全体像が示されました。ASOSのデータ侵害と次に何をすべきか気になっているなら、手短に言えばこうです：同社によると、盗まれた従業員の認証情報が顧客の連絡先データの漏洩につながったものの、調査では顧客のパスワードや支払いカードへのアクセスは確認されなかったということです。これは起こり得た状況よりは良い知らせですが、この事件を無視してよい理由にはなりません。

ASOSが説明していること

10月8日の侵害アップデートによると、この事件は盗まれた従業員の認証情報に端を発しています。つまり、攻撃者がASOSの顧客向けシステムを力ずくで突破したわけではありません。スタッフに属する認証情報が入手され、それらの認証情報が顧客の連絡先情報の漏洩につながったのです。

このアップデートは、それ以前の不正アプリに関する警告に続くものです。今振り返れば、それは最初の警告サインに過ぎなかったようです。この件に関する報道は、初期の警告が問題全体ではなく、より大きな問題の兆候であったことを示唆しています。ASOSはその後、調査結果を公表しており、以下の詳細はそこから来ています。

手元にある資料では、何人の顧客が影響を受けたかの数字は見当たらないため、推測はしません。ASOSが数字を公表したり、あなたに直接連絡したりした場合は、それを信頼できる情報源としてください。

漏洩したものとしなかったもの

ASOSの調査からの要点：

  • 漏洩： 顧客の連絡先データ。
  • ASOSによるとアクセスなし： 顧客のパスワードと支払いカードの詳細。

この区別は重要です。パスワードがなければ、攻撃者はこの事件のデータを使ってあなたのASOSアカウントに単純にログインすることはできません。カードデータがなければ、この侵害を通じてあなたの支払い情報への直接的な経路はありません。

これらは会社自身の調査結果であることを覚えておく価値があります。調査は進展することがあり、企業は時に結論を更新します。ソーシャルメディアの噂に頼るのではなく、ASOSの公式コミュニケーションに注意を払い続けてください。

漏洩した連絡先情報がフィッシングを助長する理由

連絡先情報は無害に聞こえますが、標的型フィッシングの原材料です。犯罪者があなたの名前、メールアドレス、電話番号を知り、あなたが特定の小売店で買い物をしていることを知っていれば、偽のメッセージはずっと説得力を持ちます。

ASOSまたは関連サービスから来たように見えるメッセージを予想してください。よくあるパターンには以下が含まれます：

  • アカウントがロックされたので「確認」が必要だという警告。
  • そっくりなページへのリンクが付いた配達または返金の通知。
  • 侵害自体に言及し、パスワードやカード番号を入力して「アカウントを保護」するよう促すメッセージ。

最後のものは最も残酷なひねりです：侵害の発表が餌になるのです。ASOSはパスワードとカードにはアクセスされなかったと述べているため、この事件への対応としてそれらを提供するよう求めるメッセージは、即座に疑いを抱くべきものです。

ここでVPNの疑問も出てきます。多くの読者が侵害後にそれについて尋ねるからです。VPNは接続を暗号化し、訪問するサイトやローカルネットワークの覗き見からあなたのIPアドレスを隠します。それは役立ちますが、フィッシングメールが受信箱に届くのを止めることはできず、偽のページに自分からパスワードを入力すればあなたを守ることはできません。この事件において、VPNはリスクのごく一部に対処するだけです。あなたの習慣の方がはるかに重要です。

侵害が圧力キャンペーンに変わるという広いパターンは小売業に特有のものではありません。それが他の場所でどう展開するかの背景については、ATBの事件に関する私たちの報道（DataSuckersと自称するグループが40万ドルを要求し、700万〜900万人が影響を受けたとされる）をご覧ください。

これがあなたにとって意味すること

ASOSアカウントを持っている場合、あなたの露出は主に望まない接触に関するものであり、直接的な金銭的損失ではありません。ASOSが述べたことに基づけば、現実的な脅威は巧妙に作られた詐欺メッセージであり、誰かがあなたとしてログインすることではありません。

とはいえ、いくつかのことがあなたのリスクを高めます。ASOSのパスワードを他のサイトで使い回しているなら、別の侵害が依然としてあなたを危険にさらす可能性があります。メールやテキストのリンクをすぐにクリックする傾向があるなら、説得力のある偽のASOSメッセージがあなたに効く可能性が高くなります。そしてあなたのメールアドレスが他の多くのアカウントと結びついているなら、フィッシングが成功すると連鎖的に影響が及ぶ可能性があります。

アカウントを保護するための実践的な手順

  1. 予期しないASOSをテーマにしたメッセージは疑ってかかる。 メールやテキストのリンクをクリックしないでください。ASOSアプリを開くか、自分でブラウザにアドレスを入力してください。
  2. ASOSアカウントで二要素認証（2FA）を有効にする（利用可能な場合）。そして、他のすべてをリセットする鍵となるメールアカウントでも有効にしてください。
  3. パスワードマネージャーを使うて、すべてのサイトに固有のパスワードを作成してください。ASOSはパスワードにアクセスされなかったと述べていますが、パスワードを変更するのは低コストの予防策です。特に他の場所で使い回していた場合はなおさらです。
  4. 明細を確認する。 カードデータの漏洩がなくても、銀行の活動を定期的に見直すのは良い習慣です。
  5. コードを決して共有しない。 正規の企業がメッセージで2FAコードやカード番号全体を求めることはありません。
  6. 不審なメッセージを報告する。 ASOSとあなたのメールプロバイダーに報告して、フィルタリングしてもらいましょう。

結論

ASOSのデータ侵害と、それに対して何をすべきかは、パニックではなく警戒心に帰結します。ASOSは盗まれた従業員の認証情報が顧客の連絡先詳細を漏洩させたが、パスワードやカードは漏洩しなかったと述べているため、主な危険は標的型フィッシングです。2FAをオンにし、パスワードマネージャーを使い、予期しないASOSをテーマにしたメッセージは公式アプリやサイトで確認するまで疑わしいものとして扱ってください。侵害の圧力戦術がより広くどう展開するかを見るには、ATB DataSuckers事件に関する私たちの記事をお読みください。