Kunder hos den brittiska nätåterförsäljaren ASOS öppnade sina telefoner och möttes av ett ovanligt meddelande: en "ASOS HACKED"-varning, levererad via företagets egen mobilapp. ASOS-pushnotisen om dataintrånget uppges vara ett utpressningsförsök, och namn och kontaktuppgifter kan vara röjda. Här är vad vi vet, varför denna taktik fungerar, och vad du kan göra innan eventuella uppföljningsbedrägerier dyker upp. ## Vad ASOS "HACKED"-pushnotis sade och vad som kan vara röjt Enligt den rapportering som tillhandahålls skickade utpressare en "ASOS HACKED"-varning via återförsäljarens app. Meddelandet tycks ha varit ett offentligt krav, skickat direkt till kundernas telefoner snarare än till företaget privat. Vår relaterade bevakning av hur [ASOS-aktien föll efter att utpressningspushnotisen nådde appanvändare](/en/asos-shares-fall-after-ransom-push-alert-hits-app-users) tittar på marknadsreaktionen. Den information som kan vara röjd inkluderar kunders namn och kontaktuppgifter. Källan säger inte exakt hur många personer som påverkas eller exakt vilka fält som tagits, och vi tänker inte gissa. Betrakta situationen som föränderlig: detaljer kan ändras i takt med att företaget och utredarna får veta mer. Den viktigaste punkten för läsare är praktisk. Även om de röjda uppgifterna begränsas till namn och kontaktuppgifter, räcker det för övertygande bedrägerier. ## Varför en pushnotis från en betrodd app är en kraftfull phishing-hävstång De flesta har lärt sig att vara misstänksamma mot udda e-postmeddelanden och textmeddelanden. Färre är tränade att tvivla på en notis som visas på låsskärmen under en varas egen appikon. Det är vad som gör denna incident anmärkningsvärd. En pushnotis anländer via en kanal som användaren redan har godkänt. Den bär återförsäljarens namn och logotyp, och den passerar inte ett skräppostfilter som ett e-postmeddelande skulle göra. Om angripare kan skicka meddelanden via den kanalen, lånar de det förtroende varumärket har byggt upp hos sina kunder. Det finns några skäl till att detta spelar roll bortom denna enskilda händelse: - **Underförstådd äkthet.** Användare antar rimligen att ett meddelande inifrån en app kom från företaget. - **Brådska.** En kort, alarmerande varning driver människor att reagera snabbt, vilket är målet med de flesta sociala manipuleringstekniker. - **Uppföljningspotential.** När angripare har namn och kontaktuppgifter kan de para ihop en verklig varning med e-postmeddelanden eller textmeddelanden som ser ut som ett officiellt svar. Den sista punkten är den att förbereda sig för. Varningen i sig är en påtryckningstaktik, men den bestående risken för individer är den phishing som tenderar att följa en dataexponering. ## Hur man skiljer en verklig intrångsnotis från en phishing-uppföljning Efter en incident som denna kommer genuina företagskommunikationer och bedrägerimeddelanden ofta att landa samma vecka. Vissa vanor hjälper dig att sortera dem. **Agera inte utifrån meddelandet i sig.** Om ett e-postmeddelande, textmeddelande eller en notis ber dig logga in, bekräfta uppgifter eller betala något, använd inte länken eller numret den tillhandahåller. Öppna den officiella appen eller skriv in återförsäljarens adress i din webbläsare själv. **Var misstänksam mot brådska och hot.** Verkliga notiser förklarar vad som hände och vad du kan göra. Meddelanden som kräver omedelbar åtgärd, hotar med kontostängning eller lovar återbetalningar för ett snabbt klick förtjänar misstanke. **Kontrollera hur meddelandet tilltalar dig.** Angripare som har ditt namn kan använda det för att låta personligt. Ett korrekt namn är inte bevis på att ett meddelande är legitimt. **Se upp för förfrågningar om känsliga uppgifter.** En återförsäljare bör inte be om ditt fullständiga lösenord, en engångskod eller kortuppgifter som svar på ett intrång. **Kom ihåg att varningen i sig inte är en vägledning.** En oväntad pushnotis, även en som visas i den riktiga appen, bör inte behandlas som en instruktion att klicka på eller ringa något den innehåller. Vänta på bekräftad vägledning via företagets officiella webbplats eller app. ## Vad detta innebär för dig Om du har ett ASOS-konto, utgå från att ditt namn och dina kontaktuppgifter kan vara i omlopp och planera för fler oönskade meddelanden. Det betyder inte att ditt konto har tagits över, och källan säger inte att lösenord har röjts. Men förnuftiga försiktighetsåtgärder kostar lite och minskar skadan om fler detaljer framkommer. Om du återanvänder ditt ASOS-lösenord någon annanstans är det den största omedelbara risken att åtgärda. Angripare försöker vanligtvis med kända inloggningsuppgifter på andra webbplatser, så en svag länk kan sprida sig. ## Steg ASOS-kunder bör ta nu: lösenord, 2FA och övervakning 1. **Byt ditt ASOS-lösenord.** Använd ett långt, unikt ett som du inte använder någon annanstans. En lösenordshanterare gör detta enklare. 2. **Aktivera tvåfaktorsautentisering** där det erbjuds på ditt ASOS-konto och på ditt e-postkonto, eftersom e-post ofta är nyckeln till att återställa allt annat. 3. **Byt återanvända lösenord.** Om du använde samma lösenord på andra tjänster, uppdatera även dessa. 4. **Granska ditt konto.** Kontrollera sparade adresser, betalningsmetoder och senaste beställningar för något obekant. 5. **Övervaka dina bank- och kortutdrag.** Rapportera allt du inte känner igen till din leverantör omgående. 6. **Behandla oväntade meddelanden med misstanke.** Radera eller ignorera e-postmeddelanden och textmeddelanden som nämner intrånget och ber dig agera. Gå direkt till officiella kanaler istället. 7. **Håll din app uppdaterad** och förlita dig på återförsäljarens officiella uttalanden för vägledning. ## Slutsatsen ASOS-pushnotisen om dataintrånget visar hur en betrodd kanal kan vändas mot de människor som förlitar sig på den. Det bästa svaret är lugnt och praktiskt: byt ditt ASOS-lösenord, aktivera tvåfaktorsautentisering och behandla alla oönskade intrångsmeddelanden med misstanke tills du har verifierat dem själv. För de senaste utvecklingarna, följ vår relaterade bevakning av [ASOS utpressningspushnotis och dess marknadspåverkan](/en/asos-shares-fall-after-ransom-push-alert-hits-app-users).