ASOS har bekreftet et datalekkasje, og oppdateringen deres 8. oktober gir kundene det klareste bildet så langt. Hvis du lurer på ASOS-datalekkasjen og hva du bør gjøre videre, er kortversjonen denne: selskapet sier at stjålne ansattes påloggingsinformasjon førte til eksponering av kundekontaktdata, og etterforskningen deres fant ingen tilgang til kundepassord eller betalingskort. Det er bedre nyheter enn det kunne ha vært, men det er ikke en grunn til å ignorere hendelsen.

Hva ASOS sier skjedde

Ifølge lekkasjeoppdateringen 8. oktober spores hendelsen tilbake til stjålne ansattes påloggingsinformasjon. Med andre ord brøt ikke angriperne nødvendigvis gjennom ASOS' kundevendte systemer med makt. Påloggingsinformasjon som tilhørte ansatte ble anskaffet, og denne påloggingsinformasjonen var knyttet til eksponeringen av kundekontaktinformasjon.

Oppdateringen følger en tidligere advarsel om en useriøs app, som i ettertid ser ut til å ha vært bare det første varselsignalet. Rapporteringen rundt saken antyder at den tidlige advarselen var et hint om et større problem snarere enn hele historien. ASOS har siden publisert sine etterforskningsfunn, og det er der detaljene nedenfor kommer fra.

Vi har ikke sett noe tall for hvor mange kunder som ble påvirket i materialet som er tilgjengelig, så vi kommer ikke til å gjette på et. Hvis ASOS publiserer et tall eller kontakter deg direkte, bør du behandle det som den autoritative kilden.

Hva ble og hva ble ikke eksponert

Hovedpunktene fra ASOS' etterforskning:

  • Eksponert: kundekontaktdata.
  • Ikke tilgjengelig, ifølge ASOS: kundepassord og betalingskortdetaljer.

Denne forskjellen er viktig. Uten passord kan ikke angripere bare logge inn på ASOS-kontoen din ved hjelp av data fra denne hendelsen. Uten kortdata er det ingen direkte vei til betalingsdetaljene dine gjennom dette datalekkasjen.

Det er verdt å huske at dette er selskapets egne funn. Etterforskninger kan utvikle seg, og selskaper oppdaterer noen ganger konklusjonene sine. Hold et øye med offisiell kommunikasjon fra ASOS i stedet for å stole på rykter på sosiale medier.

Hvorfor eksponerte kontaktopplysninger driver phishing

Kontaktopplysninger høres harmløse ut, men de er råmaterialet for målrettet phishing. Når en kriminell kjenner navnet ditt, e-postadressen din eller telefonnummeret ditt og vet at du handler hos en bestemt forhandler, blir en falsk melding mye mer overbevisende.

Forvent meldinger som ser ut til å komme fra ASOS eller fra en relatert tjeneste. Vanlige mønstre inkluderer:

  • En advarsel om at kontoen din er låst og trenger "verifisering".
  • Et leverings- eller refusjonsvarsel med en lenke til en liknende side.
  • En melding som refererer til selve datalekkasjen og oppfordrer deg til å "sikre kontoen din" ved å skrive inn passordet eller kortnummeret ditt.

Det siste er den grusomste vrien: kunngjøringen om datalekkasjen blir agnet. Fordi ASOS sier at passord og kort ikke ble tilgjengelig, bør enhver melding som ber deg oppgi dem som svar på hendelsen, umiddelbart vekke mistanke.

Det er også her VPN-spørsmålet kommer inn, siden mange lesere spør om det etter et datalekkasje. En VPN krypterer tilkoblingen din og skjuler IP-adressen din fra nettstedene du besøker og fra lokale netverkssnokere. Det er nyttig, men det stopper ikke en phishing-e-post fra å lande i innboksen din, og det beskytter deg ikke hvis du frivillig skriver passordet ditt inn på en falsk side. For denne hendelsen dekker en VPN bare en liten del av risikoen. Vanene dine betyr mye mer.

Det bredere mønsteret med datalekkasjer som blir til presskampanjer er ikke unikt for detaljhandelen. For kontekst om hvordan det utspiller seg andre steder, se vår dekning av ATB-hendelsen, der en gruppe som kaller seg DataSuckers angivelig krevde 400 000 dollar.

Hva dette betyr for deg

Hvis du har en ASOS-konto, handler eksponeringen din hovedsakelig om uønsket kontakt, ikke direkte økonomisk tap. Basert på det ASOS har sagt, er den realistiske trusselen en godt utformet svindelmelding, ikke noen som logger inn som deg.

Når det er sagt, er det noen ting som øker risikoen din. Hvis du gjenbruker ASOS-passordet ditt på andre nettsteder, kan et separat datalekkasje fortsatt sette deg i fare. Hvis du har en tendens til å klikke raskt på lenker i e-poster eller tekstmeldinger, er en overbevisende falsk ASOS-melding mer sannsynlig å lykkes på deg. Og hvis e-postadressen din er knyttet til mange andre kontoer, kan en vellykket phishing få følger.

Praktiske tiltak for å beskytte kontoene dine

  1. Behandle uventede ASOS-relaterte meldinger med mistanke. Ikke klikk på lenker i e-poster eller tekstmeldinger. Åpne ASOS-appen eller skriv inn adressen i nettleseren din selv.
  2. Aktiver to-faktor-autentisering (2FA) på ASOS-kontoen din hvis det er tilgjengelig, og på e-postkontoen din, som er nøkkelen til å tilbakestille alt annet.
  3. Bruk en passordbehandler for å lage et unikt passord for hvert nettsted. Selv om ASOS sier at passord ikke ble tilgjengelig, er det å endre ditt et rimelig forholdsregel, spesielt hvis du gjenbrukte det andre steder.
  4. Sjekk kontoutskriftene dine. Selv uten eksponering av kortdata er regelmessig gjennomgang av bankaktivitet god praksis.
  5. Del aldri koder. Seriøse selskaper vil ikke be om 2FA-koden din eller fullstendig kortnummer via melding.
  6. Rapporter mistenkelige meldinger til ASOS og til e-postleverandøren din slik at de kan filtreres.

Konklusjonen

ASOS-datalekkasjen, og hva du bør gjøre med den, handler om årvåkenhet snarere enn panikk. ASOS sier at stjålne ansattes påloggingsinformasjon eksponerte kundekontaktopplysninger, men ikke passord eller kort, så den største faren er målrettet phishing. Slå på 2FA, bruk en passordbehandler, og behandle enhver uventet ASOS-relatert melding som mistenkelig til du har verifisert den gjennom den offisielle appen eller nettstedet. For å se hvordan pressetaktikker ved datalekkasjer utspiller seg mer bredt, les vår artikkel om ATB DataSuckers-saken.