Klanten van de Britse online retailer ASOS openden hun telefoon en zagen een ongebruikelijk bericht: een 'ASOS HACKED'-waarschuwing, verzonden via de mobiele app van het bedrijf zelf. De pushmelding over het ASOS-datalek is naar verluidt een poging tot afpersing, en namen en contactgegevens kunnen zijn blootgesteld. Dit is wat we weten, waarom deze tactiek werkt, en wat u kunt doen voordat eventuele vervolgscams arriveren.
Wat de 'ASOS HACKED'-pushmelding zei en wat mogelijk is blootgesteld
Volgens de beschikbare berichtgeving hebben afpersers een 'ASOS HACKED'-waarschuwing via de app van de retailer verzonden. Het bericht lijkt een publieke eis te zijn geweest, rechtstreeks naar de telefoons van klanten gestuurd in plaats van privé naar het bedrijf. Onze gerelateerde berichtgeving over hoe ASOS-aandelen daalden nadat de ransomware-pushmelding app-gebruikers trof behandelt de marktreactie.
De informatie die mogelijk is blootgesteld omvat klantnamen en contactgegevens. De bron vermeldt niet precies hoeveel mensen getroffen zijn of welke velden precies zijn buitgemaakt, en wij gaan niet gissen. Behandel de situatie als dynamisch: details kunnen veranderen naarmate het bedrijf en onderzoekers meer te weten komen.
Het belangrijkste punt voor lezers is praktisch. Zelfs als de blootgestelde gegevens beperkt blijven tot namen en contactgegevens, is dat voldoende voor overtuigende scams.
Waarom een pushmelding van een vertrouwde app een krachtig phishingmiddel is
De meeste mensen hebben geleerd op hun hoede te zijn voor vreemde e-mails en sms'jes. Minder mensen zijn getraind om een melding op het vergrendelscherm onder het app-icoon van een merk te wantrouwen. Dat maakt deze gebeurtenis opmerkelijk.
Een pushmelding arriveert via een kanaal dat de gebruiker al heeft goedgekeurd. Het draagt de naam en het logo van de retailer, en het passeert geen spamfilter zoals een e-mail zou doen. Als aanvallers berichten via dat kanaal kunnen versturen, lenen ze het vertrouwen dat het merk bij zijn klanten heeft opgebouwd.
Er zijn een paar redenen waarom dit naast deze ene gebeurtenis belangrijk is:
- Impliciete authenticiteit. Gebruikers gaan er redelijkerwijs van uit dat een bericht vanuit een app van het bedrijf afkomstig is.
- Urgentie. Een korte, alarmerende waarschuwing zet mensen aan tot snel handelen, wat het doel is van de meeste social engineering.
- Vervolgpotentieel. Zodra aanvallers namen en contactgegevens hebben, kunnen ze een echte waarschuwing combineren met e-mails of sms'jes die op een officiële reactie lijken.
Het laatste punt is waar u zich op moet voorbereiden. De waarschuwing zelf is een drukmiddel, maar het blijvende risico voor individuen is de phishing die doorgaans volgt op een datalek.
Hoe u een echte inbreukmelding onderscheidt van een phishing-vervolgbericht
Na een incident als dit komen echte communicatie van het bedrijf en scam-berichten vaak in dezelfde week binnen. Een paar gewoonten helpen u ze te onderscheiden.
Onderneem geen actie vanuit het bericht zelf. Als een e-mail, sms of melding u vraagt in te loggen, gegevens te bevestigen of iets te betalen, gebruik dan niet de link of het nummer dat erin staat. Open de officiële app of typ het adres van de retailer zelf in uw browser.
Wees op uw hoede voor urgentie en dreigementen. Echte meldingen leggen uit wat er is gebeurd en wat u kunt doen. Berichten die onmiddellijke actie eisen, dreigen met het sluiten van uw account of terugbetalingen beloven bij een snelle klik, verdienen wantrouwen.
Controleer hoe het bericht u aanspreekt. Aanvallers die uw naam hebben, kunnen die gebruiken om persoonlijk te klinken. Een correcte naam is geen bewijs dat een bericht legitiem is.
Let op verzoeken om gevoelige gegevens. Een retailer zou u niet moeten vragen om uw volledige wachtwoord, een eenmalige code of kaartgegevens naar aanleiding van een datalek.
Onthoud dat de waarschuwing zelf geen richtlijn is. Een onverwachte pushmelding, zelfs een die in de echte app verschijnt, moet niet worden behandeld als een instructie om op iets te klikken of iets te bellen dat erin staat. Wacht op bevestigde richtlijnen via de officiële website of app van het bedrijf.
Wat dit voor u betekent
Als u een ASOS-account heeft, ga er dan van uit dat uw naam en contactgegevens in omloop kunnen zijn en bereid u voor op meer ongevraagde berichten. Dat betekent niet dat uw account is overgenomen, en de bron vermeldt niet dat wachtwoorden zijn blootgesteld. Maar verstandige voorzorgsmaatregelen kosten weinig en beperken de schade als er meer details opduiken.
Als u uw ASOS-wachtwoord ergens anders hergebruikt, is dat het grootste onmiddellijke risico dat u moet aanpakken. Aanvallers proberen vaak bekende inloggegevens op andere sites uit, dus één zwakke schakel kan zich verspreiden.
Stappen die ASOS-klanten nu moeten nemen: wachtwoorden, 2FA en monitoring
- Wijzig uw ASOS-wachtwoord. Gebruik een lang, uniek wachtwoord dat u nergens anders gebruikt. Een wachtwoordmanager maakt dit gemakkelijker.
- Schakel tweefactorauthenticatie in waar dit wordt aangeboden op uw ASOS-account en op uw e-mailaccount, aangezien e-mail vaak de sleutel is tot het opnieuw instellen van al het andere.
- Wijzig hergebruikte wachtwoorden. Als u hetzelfde wachtwoord op andere diensten heeft gebruikt, wijzig die dan ook.
- Controleer uw account. Controleer opgeslagen adressen, betaalmethoden en recente bestellingen op alles wat onbekend is.
- Houd uw bank- en kaartafschriften in de gaten. Meld alles wat u niet herkent tijdig bij uw provider.
- Behandel onverwachte berichten met wantrouwen. Verwijder of negeer e-mails en sms'jes die het datalek noemen en u vragen actie te ondernemen. Ga in plaats daarvan rechtstreeks naar officiële kanalen.
- Houd uw app bijgewerkt en vertrouw op de officiële verklaringen van de retailer voor richtlijnen.
De kern van de zaak
De pushmelding over het ASOS-datalek laat zien hoe een vertrouwd kanaal tegen de mensen die erop vertrouwen kan worden gebruikt. De beste reactie is kalm en praktisch: wijzig uw ASOS-wachtwoord, schakel tweefactorauthenticatie in, en behandel elk ongevraagd bericht over een datalek met wantrouwen totdat u het zelf heeft geverifieerd. Voor de laatste ontwikkelingen volgt u onze gerelateerde berichtgeving over de ASOS-ransomware-pushmelding en de marktimpact ervan.
