Clientes da varejista online britânica ASOS abriram seus telefones e encontraram uma mensagem incomum: um alerta 'ASOS HACKED', entregue pelo próprio aplicativo móvel da empresa. A notificação push sobre a violação de dados da ASOS é, segundo relatos, uma tentativa de extorsão, e nomes e dados de contato podem ter sido expostos. Aqui está o que sabemos, por que essa tática funciona e o que você pode fazer antes que golpes de acompanhamento cheguem.
O que o alerta push 'ASOS HACKED' dizia e o que pode ter sido exposto
De acordo com as informações fornecidas, extorsionários enviaram um alerta 'ASOS HACKED' pelo aplicativo da varejista. A mensagem parece ter sido uma exigência pública, enviada diretamente aos telefones dos clientes em vez de à empresa em particular. Nossa cobertura relacionada sobre como as ações da ASOS caíram após o alerta push de resgate atingir usuários do aplicativo analisa a reação do mercado.
As informações que podem ter sido expostas incluem nomes e dados de contato dos clientes. A fonte não diz precisamente quantas pessoas foram afetadas ou exatamente quais campos foram obtidos, e não vamos adivinhar. Trate a situação como fluida: os detalhes podem mudar à medida que a empresa e os investigadores descobrirem mais.
O ponto principal para os leitores é prático. Mesmo que os dados expostos se limitem a nomes e dados de contato, isso já é suficiente para golpes convincentes.
Por que uma notificação push de um aplicativo confiável é uma poderosa alavanca de phishing
A maioria das pessoas aprendeu a desconfiar de e-mails e mensagens de texto estranhos. Poucas foram treinadas para duvidar de uma notificação que aparece na tela de bloqueio sob o ícone do próprio aplicativo de uma marca. É isso que torna este incidente notável.
Um alerta push chega por um canal que o usuário já aprovou. Ele carrega o nome e o logotipo da varejista, e não passa por um filtro de spam como um e-mail passaria. Se os atacantes conseguem enviar mensagens por esse canal, eles tomam emprestada a confiança que a marca construiu com seus clientes.
Há algumas razões pelas quais isso importa além deste único evento:
- Autenticidade implícita. Os usuários razoavelmente presumem que uma mensagem vinda de dentro de um aplicativo veio da empresa.
- Urgência. Um alerta curto e alarmante pressiona as pessoas a reagir rapidamente, que é o objetivo da maioria das engenharias sociais.
- Potencial de desdobramento. Uma vez que os atacantes têm nomes e dados de contato, eles podem combinar um alerta real com e-mails ou mensagens de texto que parecem uma resposta oficial.
O último ponto é aquele para o qual se preparar. O alerta em si é uma tática de pressão, mas o risco duradouro para os indivíduos é o phishing que costuma seguir uma exposição de dados.
Como distinguir um aviso real de violação de um phishing de acompanhamento
Após um incidente como este, comunicações genuínas da empresa e mensagens de golpe frequentemente chegarão na mesma semana. Alguns hábitos ajudam a classificá-las.
Não aja a partir da própria mensagem. Se um e-mail, mensagem de texto ou notificação pedir que você faça login, confirme dados ou pague qualquer coisa, não use o link ou número fornecido. Abra o aplicativo oficial ou digite o endereço da varejista no seu navegador você mesmo.
Desconfie de urgência e ameaças. Avisos reais explicam o que aconteceu e o que você pode fazer. Mensagens que exigem ação imediata, ameaçam o fechamento da conta ou prometem reembolsos por um clique rápido merecem suspeita.
Verifique como a mensagem se dirige a você. Atacantes que possuem seu nome podem usá-lo para parecer pessoais. Um nome correto não é prova de que uma mensagem é legítima.
Fique atento a pedidos de dados sensíveis. Uma varejista não deveria pedir sua senha completa, um código de uso único ou dados do cartão em resposta a uma violação.
Lembre-se de que o próprio alerta não é um guia. Um alerta push inesperado, mesmo um que apareça no aplicativo real, não deve ser tratado como uma instrução para clicar ou ligar para qualquer coisa que ele contenha. Aguarde orientações confirmadas pelo site ou aplicativo oficial da empresa.
O que isso significa para você
Se você tem uma conta na ASOS, presuma que seu nome e dados de contato podem estar em circulação e prepare-se para mais mensagens não solicitadas. Isso não significa que sua conta foi tomada, e a fonte não diz que senhas foram expostas. Mas precauções sensatas custam pouco e reduzem o dano caso mais detalhes surjam.
Se você reutiliza sua senha da ASOS em qualquer outro lugar, esse é o maior risco imediato a corrigir. Atacantes comumente tentam credenciais conhecidas em outros sites, então um elo fraco pode se espalhar.
Passos que os clientes da ASOS devem tomar agora: senhas, 2FA e monitoramento
- Troque sua senha da ASOS. Use uma longa e única que você não use em nenhum outro lugar. Um gerenciador de senhas facilita isso.
- Ative a autenticação de dois fatores onde ela for oferecida na sua conta ASOS e na sua conta de e-mail, já que o e-mail costuma ser a chave para redefinir todo o resto.
- Troque senhas reutilizadas. Se você usou a mesma senha em outros serviços, atualize-as também.
- Revise sua conta. Verifique endereços salvos, métodos de pagamento e pedidos recentes em busca de qualquer coisa desconhecida.
- Monitore seus extratos bancários e da fatura do cartão. Comunique qualquer coisa que você não reconheça ao seu provedor prontamente.
- Trate mensagens inesperadas com suspeita. Exclua ou ignore e-mails e mensagens de texto que mencionem a violação e peçam que você aja. Vá diretamente aos canais oficiais em vez disso.
- Mantenha seu aplicativo atualizado e conte com as declarações oficiais da varejista para orientação.
A conclusão
A notificação push sobre a violação de dados da ASOS mostra como um canal confiável pode ser voltado contra as pessoas que dependem dele. A melhor resposta é calma e prática: troque sua senha da ASOS, ative a autenticação de dois fatores e trate qualquer mensagem não solicitada sobre a violação com suspeita até que você mesmo a tenha verificado. Para as últimas novidades, acompanhe nossa cobertura relacionada sobre o alerta push de resgate da ASOS e seu impacto no mercado.
