ASOS подтвердила утечку данных, и её обновление от 8 октября даёт покупателям наиболее ясную картину на данный момент. Если вы задаётесь вопросом об утечке данных ASOS и о том, что делать дальше, короткая версия такова: компания заявляет, что украденные учётные данные сотрудников привели к раскрытию контактных данных клиентов, а её расследование не выявило доступа к паролям клиентов или платёжным картам. Это лучшая новость, чем могла бы быть, но это не повод игнорировать инцидент.
Что, по словам ASOS, произошло
Согласно обновлению об утечке от 8 октября, инцидент восходит к украденным учётным данным сотрудников. Иными словами, злоумышленники не обязательно взломали клиентские системы ASOS силой. Были получены учётные данные, принадлежащие сотрудникам, и эти учётные данные были связаны с раскрытием контактной информации клиентов.
Обновление последовало за более ранним предупреждением о вредоносном приложении, которое, как теперь видно, было лишь первым тревожным сигналом. Сообщения вокруг этого дела позволяют предположить, что раннее предупреждение было намёком на более крупную проблему, а не полной историей. С тех пор ASOS опубликовала результаты своего расследования, и именно оттуда взяты приведённые ниже детали.
В доступных материалах мы не видели цифры о том, сколько клиентов пострадало, поэтому мы не будем её предполагать. Если ASOS опубликует число или свяжется с вами напрямую, считайте это авторитетным источником.
Что было и что не было раскрыто
Ключевые моменты расследования ASOS:
- Раскрыто: контактные данные клиентов.
- Не было доступа, согласно ASOS: пароли клиентов и данные платёжных карт.
Это различие важно. Без паролей злоумышленники не могут просто войти в вашу учётную запись ASOS, используя данные из этого инцидента. Без данных карт нет прямого пути к вашим платёжным данным через эту утечку.
Стоит помнить, что это выводы самой компании. Расследования могут развиваться, и компании иногда обновляют свои заключения. Следите за официальными сообщениями ASOS, а не полагайтесь на слухи в социальных сетях.
Почему раскрытые контактные данные подпитывают фишинг
Контактные данные звучат безобидно, но они являются сырьём для целевого фишинга. Когда преступник знает ваше имя, адрес электронной почты или номер телефона и знает, что вы делаете покупки в конкретном магазине, поддельное сообщение становится гораздо убедительнее.
Ожидайте сообщений, которые выглядят как пришедшие от ASOS или от связанного сервиса. Распространённые схемы включают:
- Предупреждение о том, что ваша учётная запись заблокирована и требует «подтверждения».
- Уведомление о доставке или возврате средств со ссылкой на похожую страницу.
- Сообщение, ссылающееся на саму утечку и призывающее вас «защитить учётную запись», введя пароль или номер карты.
Последнее — самое жестокое: анонс утечки становится приманкой. Поскольку ASOS заявляет, что пароли и карты не были скомпрометированы, любое сообщение с просьбой предоставить их в ответ на инцидент должно немедленно вызывать подозрение.
Здесь же возникает вопрос о VPN, поскольку многие читатели спрашивают о нём после утечки. VPN шифрует ваше соединение и скрывает ваш IP-адрес от сайтов, которые вы посещаете, и от локальных сетевых наблюдателей. Это полезно, но не мешает фишинговому письму попасть в ваш почтовый ящик и не защищает вас, если вы добровольно введёте свой пароль на поддельной странице. В этом инциденте VPN решает лишь узкую часть риска. Ваши привычки значат гораздо больше.
Более широкая схема превращения утечек в кампании давления не уникальна для розничной торговли. Для контекста о том, как это разворачивается в других местах, смотрите наш материал об инциденте с ATB, где группа, называющая себя DataSuckers, якобы потребовала $400 тыс..
Что это значит для вас
Если у вас есть учётная запись ASOS, ваша подверженность риску связана в основном с нежелательными контактами, а не с прямыми финансовыми потерями. Судя по тому, что сказала ASOS, реальная угроза — это хорошо составленное мошенническое сообщение, а не кто-то, входящий в систему под вашим именем.
Тем не менее, несколько вещей повышают ваш риск. Если вы используете один и тот же пароль ASOS на других сайтах, другая утечка всё ещё может подвергнуть вас опасности. Если вы склонны быстро переходить по ссылкам в электронных письмах или сообщениях, убедительное поддельное сообщение от ASOS с большей вероятностью сработает против вас. А если ваш адрес электронной почты привязан ко многим другим учётным записям, успешный фишинг может вызвать цепную реакцию.
Практические шаги для защиты ваших учётных записей
- Относитесь к неожиданным сообщениям на тему ASOS с подозрением. Не переходите по ссылкам в письмах или сообщениях. Откройте приложение ASOS или введите адрес в браузере самостоятельно.
- Включите двухфакторную аутентификацию (2FA) в своей учётной записи ASOS, если она доступна, и в своей учётной записи электронной почты, которая является ключом к сбросу всего остального.
- Используйте менеджер паролей, чтобы создавать уникальный пароль для каждого сайта. Даже несмотря на то, что ASOS заявляет, что пароли не были скомпрометированы, смена вашего пароля — это малозатратная мера предосторожности, особенно если вы использовали его где-то ещё.
- Проверяйте свои выписки. Даже без раскрытия данных карт регулярная проверка банковской активности — хорошая практика.
- Никогда не делитесь кодами. Легитимные компании не будут запрашивать ваш код 2FA или полный номер карты через сообщение.
- Сообщайте о подозрительных сообщениях в ASOS и вашему провайдеру электронной почты, чтобы их можно было отфильтровать.
Итог
Утечка данных ASOS и то, что с ней делать, сводится к бдительности, а не к панике. ASOS заявляет, что украденные учётные данные сотрудников раскрыли контактные данные клиентов, но не пароли или карты, поэтому главная опасность — это целевой фишинг. Включите 2FA, используйте менеджер паролей и относитесь к любому неожиданному сообщению на тему ASOS как к подозрительному, пока не проверите его через официальное приложение или сайт. Чтобы увидеть, как тактика давления после утечек разворачивается в более широком масштабе, прочитайте наш материал о деле ATB DataSuckers.
