ASOS heeft een databreuk bevestigd, en de update van 8 oktober geeft shoppers het duidelijkste beeld tot nu toe. Als je je afvraagt wat de ASOS-databreuk inhoudt en wat je nu moet doen, is de korte versie deze: het bedrijf zegt dat gestolen inloggegevens van medewerkers hebben geleid tot blootgestelde contactgegevens van klanten, en uit het onderzoek is gebleken dat er geen toegang was tot klantwachtwoorden of betaalkaarten. Dat is beter nieuws dan het had kunnen zijn, maar het is geen reden om het incident te negeren.
Wat ASOS zegt dat er is gebeurd
Volgens de breukupdate van 8 oktober voert het incident terug naar gestolen inloggegevens van medewerkers. Met andere woorden, de aanvallers hebben niet per se met geweld de klantgerichte systemen van ASOS doorbroken. Inloggegevens van medewerkers werden verkregen, en die inloggegevens waren gekoppeld aan de blootstelling van contactgegevens van klanten.
De update volgt op een eerdere waarschuwing over een rogue-app, die achteraf slechts het eerste waarschuwingssignaal lijkt te zijn geweest. De berichtgeving rond de zaak suggereert dat die vroege waarschuwing een hint was van een groter probleem, niet het volledige verhaal. ASOS heeft sindsdien de bevindingen van zijn onderzoek gepubliceerd, en daar komen de onderstaande details vandaan.
We hebben in het beschikbare materiaal geen cijfer gezien voor het aantal getroffen klanten, dus we gaan er niet naar gokken. Als ASOS een aantal publiceert of rechtstreeks contact met je opneemt, beschouw dat dan als de gezaghebbende bron.
Wat wel en niet is blootgesteld
De belangrijkste punten uit het onderzoek van ASOS:
- Blootgesteld: contactgegevens van klanten.
- Volgens ASOS niet benaderd: klantwachtwoorden en betaalkaartgegevens.
Dat onderscheid is belangrijk. Zonder wachtwoorden kunnen aanvallers niet simpelweg met gegevens uit dit incident inloggen op je ASOS-account. Zonder kaartgegevens is er via deze breuk geen directe route naar je betaalgegevens.
Het is de moeite waard om te onthouden dat dit de eigen bevindingen van het bedrijf zijn. Onderzoeken kunnen zich ontwikkelen, en bedrijven passen hun conclusies soms aan. Houd de officiële communicatie van ASOS in de gaten in plaats van te vertrouwen op geruchten op sociale media.
Waarom blootgestelde contactgegevens phishing aanwakkeren
Contactgegevens klinken onschuldig, maar het zijn de grondstof voor gerichte phishing. Wanneer een crimineel je naam, e-mailadres of telefoonnummer kent en weet dat je bij een specifieke retailer shopt, wordt een nepbericht veel overtuigender.
Verwacht berichten die lijken te komen van ASOS of van een gerelateerde dienst. Veelvoorkomende patronen zijn:
- Een waarschuwing dat je account is vergrendeld en "verificatie" nodig heeft.
- Een bezorg- of terugbetalingsbericht met een link naar een lookalike-pagina.
- Een bericht dat verwijst naar de breuk zelf en je aanspoort om "je account te beveiligen" door je wachtwoord of kaartnummer in te voeren.
Dat laatste is de wreedste wending: de aankondiging van de breuk wordt het aas. Omdat ASOS zegt dat wachtwoorden en kaarten niet zijn benaderd, zou elk bericht dat je vraagt ze te verstrekken in reactie op het incident onmiddellijk argwaan moeten wekken.
Dit is ook waar de VPN-vraag binnenkomt, aangezien veel lezers daar na een breuk naar vragen. Een VPN versleutelt je verbinding en verbergt je IP-adres voor de sites die je bezoekt en voor lokale netwerksnuffelaars. Dat is nuttig, maar het stopt geen phishing-e-mail in je inbox, en het beschermt je niet als je vrijwillig je wachtwoord intypt op een nep-pagina. Voor dit incident pakt een VPN slechts een klein deel van het risico aan. Je gewoonten zijn veel belangrijker.
Het bredere patroon van breuken die veranderen in drukcampagnes is niet uniek voor retail. Voor context over hoe dat elders verloopt, zie onze berichtgeving over het ATB-incident, waar een groep die zichzelf DataSuckers noemt naar verluidt $400K eiste.
Wat dit voor jou betekent
Als je een ASOS-account hebt, gaat je blootstelling vooral over ongewenst contact, niet over direct financieel verlies. Op basis van wat ASOS heeft gezegd, is de realistische dreiging een goed in elkaar gezette scam-bericht, niet iemand die als jou inlogt.
Dat gezegd hebbende, verhogen een paar dingen je risico. Als je je ASOS-wachtwoord hergebruikt op andere sites, kan een aparte breuk je nog steeds in gevaar brengen. Als je geneigd bent snel op links in e-mails of sms'jes te klikken, is een overtuigend nep-ASOS-bericht eerder geneigd om bij je te werken. En als je e-mailadres aan veel andere accounts is gekoppeld, kan een geslaagde phish een cascade veroorzaken.
Praktische stappen om je accounts te beschermen
- Behandel onverwachte berichten met ASOS-thema met argwaan. Klik niet op links in e-mails of sms'jes. Open de ASOS-app of typ het adres zelf in je browser.
- Schakel tweefactorauthenticatie (2FA) in op je ASOS-account als dat beschikbaar is, en op je e-mailaccount, dat de sleutel is tot het resetten van al het andere.
- Gebruik een wachtwoordmanager om voor elke site een uniek wachtwoord te maken. Ook al zegt ASOS dat wachtwoorden niet zijn benaderd, je wachtwoord wijzigen is een goedkope voorzorgsmaatregel, vooral als je het elders hebt hergebruikt.
- Controleer je afschriften. Zelfs zonder blootstelling van kaartgegevens is regelmatige controle van bankactiviteit goede praktijk.
- Deel nooit codes. Legitieme bedrijven vragen niet per bericht om je 2FA-code of volledige kaartnummer.
- Meld verdachte berichten bij ASOS en bij je e-mailprovider, zodat ze gefilterd kunnen worden.
De conclusie
De ASOS-databreuk, en wat je eraan moet doen, komt neer op waakzaamheid in plaats van paniek. ASOS zegt dat gestolen inloggegevens van medewerkers contactgegevens van klanten hebben blootgesteld, maar geen wachtwoorden of kaarten, dus het grootste gevaar is gerichte phishing. Schakel 2FA in, gebruik een wachtwoordmanager en behandel elk onverwacht bericht met ASOS-thema als verdacht tot je het via de officiële app of site hebt geverifieerd. Om te zien hoe druktactieken na breuken zich breder ontvouwen, lees ons stuk over de ATB DataSuckers-zaak.
