Asusは、侵入者が同社eShopの一部にアクセスし、顧客の注文記録と連絡先情報に到達したことを確認した。同社は決済データは影響を受けていないと述べている。これは良いニュースだが、それで話が終わるわけではない。顧客にとってより大きな懸念は、Asus eShopデータ侵害を悪用したフィッシングだ。実際の注文情報を基に作られた説得力のある詐欺メッセージである。

Asusが確認したこと、していないこと

Tom's Hardwareやその他の報道によると、AsusはeShopの顧客に対し、無許可の第三者がオンラインストアの一部にアクセスしたと伝えている。漏洩した情報には連絡先情報と注文記録が含まれる。Asusは決済データは安全だったと述べ、顧客に対して標的型フィッシング詐欺に注意するよう警告している。

いくつかの重要な詳細は依然として不明である。Asusは侵害の規模や発生場所について口を閉ざしているため、影響を受けた顧客の数や、どの地域のストアが関与したのかは分かっていない。同社がさらなる情報を公表するまでは、Asus eShopで注文したことがある人は誰でも、自分がリストに載っている可能性を想定すべきである。

注文記録と連絡先情報がフィッシングを助長する理由

カード番号を含まない侵害を軽視したくなる気持ちは理解できる。しかし、連絡先情報と注文記録の組み合わせは、まさに詐欺師が望むものである。一般的なフィッシングメールは無視しやすい。しかし、実際に購入した製品名を挙げ、実際の注文に言及し、もっともらしい「Asusサポート」のアドレスから届くメールは、はるかに無視しにくい。

その情報があれば、攻撃者は次のようなメッセージを作成できる。

  • 注文に配送問題があり、住所や支払いの「再確認」が必要だという偽の通知。
  • そっくりなページにログインするよう求める返金や保証に関するメッセージ。
  • 自分の注文に言及して信憑性を装う、Asusサポートを名乗る人物からのテキストメッセージや電話。

目的は通常、パスワードや支払い情報を盗むこと、あるいはマルウェアをインストールさせることである。盗まれた連絡先データは流通しやすい傾向があるため、これらの試みは元のインシデントから数週間後や数か月後に届く可能性がある。盗まれたデータがより広範なソーシャルエンジニアリングや恐喝の手法にどう利用されるかの背景については、平均身代金要求額が管理職に達したというZscalerの報告書に関する記事をご覧いただきたい。

Asusの侵害後に身を守る方法

パニックになる必要はないが、いくつかの習慣でリスクは大幅に減らせる。

  1. 予期しないAsusからのメッセージは疑ってかかる。 これは、注文、返金、配送問題、アカウントの問題に言及したメール、テキスト、電話に当てはまる。たとえ詳細が正しく見えてもである。
  2. リンクをクリックしたり添付ファイルを開いたりしない。 代わりに、自分でアドレスを入力してAsusのウェブサイトにアクセスするか、公式アプリを使って、そこで注文状況を確認する。
  3. パスワード、ワンタイムコード、カード情報を、先に連絡してきた相手には決して共有しない。相手が誰だと名乗っていてもである。
  4. Asusアカウントのパスワードを変更し、他のどこかで使い回していないことを確認する。パスワードマネージャーを使えば、固有のパスワードを実用的に管理できる。
  5. 二要素認証を有効にする。 提供されている場所では必ず設定し、できればSMSではなく認証アプリを使う。
  6. カードや銀行の明細を注意深く確認する。 Asusは決済データは関与していないと述べているが、侵害後は定期的な確認が賢明な習慣である。
  7. 不審なメッセージを報告する。 メールプロバイダーに報告し、削除する。

VPNはフィッシングを防げない。接続を暗号化するが、メールが本物かどうかは教えてくれない。ここでは慎重な確認と強固なアカウントセキュリティの方がはるかに重要である。

この侵害が小売eコマースのセキュリティについて示すこと

このインシデントは、オンラインストアが決済データ以上のものを保持しているということを思い出させる。注文履歴、氏名、住所、電話番号、メールアドレスはそれ自体が価値を持ち、決済処理とは別のシステムに保存されていることが多い。カードデータを安全に保つことは必要だが、それによって顧客記録の残りの部分が無害になるわけではない。

買い物客にとっての教訓は、「決済データへの影響なし」という侵害通知は「リスクなし」と読むべきではないということだ。Asusが規模や場所について詳細を明かしていないことも、顧客が明確な情報を待つ間、自らの警戒に頼らざるを得ないことを意味する。

これがあなたにとって意味すること

Asus eShopで購入したことがあるなら、詐欺師があなたの注文内容や連絡方法を知っている可能性を想定しておこう。侵害自体は終わった。今あなたがコントロールできるのは、その後に届くメッセージにどう対応するかである。クリックする前に確認し、注文に言及した一方的な連絡は、そうでないと証明されるまで疑わしいと考えるべきである。

主なポイント

  • AsusはeShopの一部への無許可アクセスを確認し、連絡先情報と注文記録が漏洩したが、決済データは安全だったとされている。
  • 侵害の規模と場所は公表されていない。
  • 主な危険はAsus eShopデータ侵害を悪用したフィッシングであり、実際の注文詳細を使って詐欺を信じ込ませる。
  • 予期しないAsusをかたるメール、電話、テキストには懐疑的になり、公式ウェブサイトで確認する。
  • パスワードを更新し、二要素認証を有効にし、アカウントを監視する。

盗まれたデータがソーシャルエンジニアリングや恐喝キャンペーンでどう使われるかについてのより広い視点については、Zscalerの身代金報告書に関する記事をお読みいただき、今日数分を使ってアカウントを強化していただきたい。