ASOS har bekräftat ett dataintrång, och uppdateringen den 8 oktober ger kunderna den tydligaste bilden hittills. Om du undrar över ASOS dataintrång och vad du bör göra härnäst, är den korta versionen denna: företaget uppger att stulna anställdas inloggningsuppgifter ledde till att kunders kontaktuppgifter exponerades, och deras utredning fann ingen åtkomst till kunders lösenord eller betalkort. Det är bättre nyheter än det hade kunnat vara, men det är inte en anledning att ignorera incidenten.

Vad ASOS säger hände

Enligt intrångsuppdateringen den 8 oktober går incidenten tillbaka till stulna anställdas inloggningsuppgifter. Med andra ord tog angriparna sig inte nödvändigtvis in i ASOS kundvända system med våld. Inloggningsuppgifter som tillhörde personal erhölls, och dessa uppgifter kopplades till exponeringen av kunders kontaktinformation.

Uppdateringen följer en tidigare varning om en skadlig app, som i efterhand verkar ha varit endast det första varningstecknet. Rapporteringen kring fallet tyder på att den tidiga varningen var en antydan om ett större problem snarare än hela historien. ASOS har sedan dess publicerat sina utredningsresultat, vilket är varifrån detaljerna nedan kommer.

Vi har inte sett någon siffra på hur många kunder som påverkades i det tillgängliga materialet, så vi kommer inte att gissa oss till en. Om ASOS publicerar en siffra eller kontaktar dig direkt, behandla det som den auktoritativa källan.

Vad som exponerades och vad som inte gjorde det

De viktigaste punkterna från ASOS utredning:

  • Exponerat: kunders kontaktuppgifter.
  • Inte åtkomstat, enligt ASOS: kunders lösenord och betalkortsuppgifter.

Den distinktionen spelar roll. Utan lösenord kan angripare inte helt enkelt logga in på ditt ASOS-konto med data från denna incident. Utan kortdata finns ingen direkt väg till dina betaluppgifter genom detta intrång.

Det är värt att komma ihåg att detta är företagets egna slutsatser. Utredningar kan utvecklas, och företag uppdaterar ibland sina slutsatser. Håll ett öga på officiell kommunikation från ASOS snarare än att förlita dig på rykten i sociala medier.

Varför exponerade kontaktuppgifter göder nätfiske

Kontaktuppgifter låter harmlöst, men de är råmaterialet för riktat nätfiske. När en kriminell känner till ditt namn, din e-postadress eller ditt telefonnummer och vet att du handlar hos en specifik återförsäljare, blir ett falskt meddelande mycket mer övertygande.

Förvänta dig meddelanden som ser ut att komma från ASOS eller från en relaterad tjänst. Vanliga mönster inkluderar:

  • En varning om att ditt konto har låsts och behöver "verifieras."
  • En leverans- eller återbetalningsavisering med en länk till en förvillande sida.
  • Ett meddelande som refererar till själva intrånget och uppmanar dig att "säkra ditt konto" genom att ange ditt lösenord eller kortnummer.

Den sista är den grymmaste vändningen: tillkännagivandet av intrånget blir betet. Eftersom ASOS säger att lösenord och kort inte åtkommades, bör varje meddelande som ber dig lämna dem som svar på incidenten omedelbart väcka misstanke.

Det är också här VPN-frågan kommer in, eftersom många läsare frågar om det efter ett intrång. En VPN krypterar din anslutning och döljer din IP-adress från de webbplatser du besöker och från lokala nätverkssnokare. Det är användbart, men det stoppar inte ett nätfiskemejl från att landa i din inkorg, och det skyddar dig inte om du frivilligt skriver in ditt lösenord på en falsk sida. För denna incident hanterar en VPN bara en smal del av risken. Dina vanor spelar mycket större roll.

Det bredare mönstret av intrång som förvandlas till påtryckningskampanjer är inte unikt för detaljhandeln. För kontext om hur det utspelar sig på andra håll, se vår bevakning av ATB-incidenten, där en grupp som kallar sig DataSuckers rapporterades kräva 400 000 dollar.

Vad detta innebär för dig

Om du har ett ASOS-konto handlar din exponering främst om oönskad kontakt, inte direkt ekonomisk förlust. Baserat på vad ASOS har sagt är det realistiska hotet ett välformulerat bedrägerimeddelande, inte någon som loggar in som du.

Med det sagt finns det några saker som ökar din risk. Om du återanvänder ditt ASOS-lösenord på andra webbplatser kan ett separat intrång fortfarande sätta dig i fara. Om du tenderar att snabbt klicka på länkar i e-post eller sms är ett övertygande falskt ASOS-meddelande mer sannolikt att lyckas på dig. Och om din e-postadress är kopplad till många andra konton kan ett lyckat nätfiske få kedjeeffekter.

Praktiska steg för att skydda dina konton

  1. Behandla oväntade meddelanden med ASOS-tema med misstänksamhet. Klicka inte på länkar i e-post eller sms. Öppna ASOS-appen eller skriv in adressen i din webbläsare själv.
  2. Aktivera tvåfaktorsautentisering (2FA) på ditt ASOS-konto om det är tillgängligt, och på ditt e-postkonto, som är nyckeln till att återställa allt annat.
  3. Använd en lösenordshanterare för att skapa ett unikt lösenord för varje webbplats. Även om ASOS säger att lösenord inte åtkommades, är att byta ditt en försiktighetsåtgärd till låg kostnad, särskilt om du återanvände det någon annanstans.
  4. Kontrollera dina kontoutdrag. Även utan exponering av kortdata är regelbunden granskning av bankaktivitet god praxis.
  5. Dela aldrig koder. Seriösa företag kommer inte att be om din 2FA-kod eller fullständiga kortnummer via meddelande.
  6. Rapportera misstänkta meddelanden till ASOS och till din e-postleverantör så att de kan filtreras.

Summan av kardemumman

ASOS dataintrång, och vad man bör göra åt det, handlar om vaksamhet snarare än panik. ASOS säger att stulna anställdas inloggningsuppgifter exponerade kunders kontaktuppgifter men inte lösenord eller kort, så den främsta faran är riktat nätfiske. Aktivera 2FA, använd en lösenordshanterare och behandla alla oväntade meddelanden med ASOS-tema som misstänkta tills du har verifierat dem via den officiella appen eller webbplatsen. För att se hur påtryckningstaktiker vid intrång utspelar sig mer brett, läs vår artikel om ATB DataSuckers-fallet.