ASOS ยืนยันว่ามีการรั่วไหลของข้อมูล และการอัปเดตเมื่อวันที่ 8 ตุลาคมทำให้ผู้ซื้อเห็นภาพชัดเจนที่สุดเท่าที่ผ่านมา หากคุณกำลังสงสัยเกี่ยวกับการรั่วไหลของข้อมูล ASOS และสิ่งที่ควรทำต่อไป คำตอบสั้น ๆ คือ: บริษัทระบุว่าข้อมูลรับรองพนักงานที่ถูกขโมยไปนำไปสู่การเปิดเผยข้อมูลติดต่อของลูกค้า และการสอบสวนไม่พบการเข้าถึงรหัสผ่านหรือบัตรชำระเงินของลูกค้า ซึ่งเป็นข่าวดีกว่าที่อาจเป็นไปได้ แต่ก็ไม่ใช่เหตุผลที่จะเพิกเฉยต่อเหตุการณ์นี้
ASOS บอกว่าเกิดอะไรขึ้น
ตามการอัปเดตเหตุการณ์รั่วไหลเมื่อวันที่ 8 ตุลาคม เหตุการณ์นี้สืบย้อนกลับไปถึงข้อมูลรับรองพนักงานที่ถูกขโมยไป กล่าวอีกนัยหนึ่ง ผู้โจมตีไม่ได้เจาะระบบที่เผชิญกับลูกค้าของ ASOS ด้วยกำลังโดยตรง ข้อมูลรับรองที่เป็นของพนักงานถูกนำไปใช้ และข้อมูลรับรองเหล่านั้นเชื่อมโยงกับการเปิดเผยข้อมูลติดต่อของลูกค้า
การอัปเดตนี้เกิดขึ้นหลังจากคำเตือนเรื่องแอปปลอมก่อนหน้านี้ ซึ่งเมื่อมองย้อนกลับไปดูเหมือนจะเป็นเพียงสัญญาณเตือนแรกเท่านั้น รายงาน حولกรณีนี้ชี้ให้เห็นว่าคำเตือน初期นั้นเป็นเพียงเบาะแสของปัญหาที่ใหญ่กว่า ไม่ใช่เรื่องราวทั้งหมด ASOS ได้เผยแพร่ผลการสอบสวนแล้ว ซึ่งเป็นที่มาของรายละเอียดด้านล่างนี้
เราไม่พบตัวเลขจำนวนลูกค้าที่ได้รับผลกระทบในเนื้อหาที่มีอยู่ ดังนั้นเราจะไม่คาดเดาตัวเลข หาก ASOS เผยแพร่ตัวเลขหรือติดต่อคุณโดยตรง ให้ถือว่าเป็นแหล่งข้อมูลที่เชื่อถือได้
อะไรถูกเปิดเผยและอะไรไม่ถูกเปิดเผย
ประเด็นสำคัญจากผลการสอบสวนของ ASOS:
- ถูกเปิดเผย: ข้อมูลติดต่อของลูกค้า
- ไม่ถูกเข้าถึง ตามที่ ASOS ระบุ: รหัสผ่านและรายละเอียดบัตรชำระเงินของลูกค้า
ความแตกต่างนี้สำคัญ หากไม่มีรหัสผ่าน ผู้โจมตีก็ไม่สามารถเข้าสู่ระบบบัญชี ASOS ของคุณโดยใช้ข้อมูลจากเหตุการณ์นี้ได้ หากไม่มีข้อมูลบัตร ก็ไม่มีเส้นทางตรงไปยังรายละเอียดการชำระเงินของคุณผ่านการรั่วไหลนี้
ควรจำไว้ว่าสิ่งเหล่านี้เป็นผลการสอบสวนของบริษัทเอง การสอบสวนสามารถเปลี่ยนแปลงได้ และบางครั้งบริษัทก็อัปเดตข้อสรุปของตน ควรจับตาดูการสื่อสารอย่างเป็นทางการของ ASOS มากกว่าที่จะเชื่อข่าวลือบนโซเชียลมีเดีย
ทำไมข้อมูลติดต่อที่ถูกเปิดเผยจึงเป็นเชื้อเพลิงให้ฟิชชิ่ง
ข้อมูลติดต่อฟังดูไม่อันตราย แต่มันเป็นวัตถุดิบสำหรับการฟิชชิ่งแบบเจาะจง เมื่ออาชญากรรู้ชื่อ ที่อยู่อีเมล หรือหมายเลขโทรศัพท์ของคุณ และรู้ว่าคุณซื้อของจากร้านค้าปลีกแห่งใดแห่งหนึ่ง ข้อความปลอมก็จะน่าเชื่อถือมากขึ้นมาก
คาดว่าจะมีข้อความที่ดูเหมือนมาจาก ASOS หรือจากบริการที่เกี่ยวข้อง รูปแบบที่พบบ่อย ได้แก่:
- คำเตือนว่าบัญชีของคุณถูกล็อกและต้องการ "การยืนยัน"
- ประกาศการจัดส่งหรือการคืนเงินพร้อมลิงก์ไปยังหน้าที่คล้ายกัน
- ข้อความที่อ้างถึงการรั่วไหลเองและกระตุ้นให้คุณ "รักษาความปลอดภัยบัญชี" โดยการกรอกรหัสผ่านหรือหมายเลขบัตร
ข้อสุดท้ายคือจุดพลิกผันที่โหดร้ายที่สุด: การประกาศเหตุการณ์รั่วไหลกลายเป็นเหยื่อล่อ เนื่องจาก ASOS ระบุว่าไม่มีการเข้าถึงรหัสผ่านและบัตร ข้อความใดก็ตามที่ขอให้คุณให้ข้อมูลเหล่านั้นเพื่อตอบสนองต่อเหตุการณ์นี้ควรสร้างความสงสัยทันที
นี่ก็เป็นจุดที่คำถามเรื่อง VPN เข้ามาเกี่ยวข้อง เนื่องจากผู้อ่านหลายคนถามเกี่ยวกับเรื่องนี้หลังการรั่วไหล VPN เข้ารหัสการเชื่อมต่อของคุณและซ่อนที่อยู่ IP ของคุณจากเว็บไซต์ที่คุณเยี่ยมชมและจากผู้สอดส่องบนเครือข่ายท้องถิ่น ซึ่งมีประโยชน์ แต่ไม่ได้หยุดอีเมลฟิชชิ่งไม่ให้มาถึงกล่องจดหมายของคุณ และไม่ได้ปกป้องคุณหากคุณพิมพ์รหัสผ่านลงในหน้าเว็บปลอมด้วยตัวเอง สำหรับเหตุการณ์นี้ VPN จัดการเพียงส่วนเสี้ยวเล็ก ๆ ของความเสี่ยง นิสัยของคุณสำคัญกว่ามาก
รูปแบบที่กว้างขึ้นของการรั่วไหลที่กลายเป็นแคมเปญกดดันไม่ใช่เรื่องเฉพาะในวงการค้าปลีก สำหรับบริบทว่าสิ่งนี้เกิดขึ้นที่อื่นอย่างไร ดูการรายงานของเราเกี่ยวกับเหตุการณ์ ATB ที่กลุ่มที่เรียกตัวเองว่า DataSuckers ถูกรายงานว่าฮค่าไถ่ 400,000 ดอลลาร์
สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ
หากคุณมีบัญชี ASOS การเปิดเผยของคุณส่วนใหญ่เกี่ยวข้องกับการติดต่อที่ไม่พึงประสงค์ ไม่ใช่ความสูญเสียทางการเงินโดยตรง จากสิ่งที่ ASOS กล่าว ภัยคุกคามที่แท้จริงคือข้อความหลอกลวงที่สร้างมาอย่างดี ไม่ใช่การมีคนเข้าสู่ระบบในนามของคุณ
อย่างไรก็ตาม มีบางสิ่งที่เพิ่มความเสี่ยงของคุณ หากคุณใช้รหัสผ่าน ASOS ซ้ำบนเว็บไซต์อื่น การรั่วไหลแยกต่างหากก็ยังสามารถทำให้คุณตกอยู่ในอันตรายได้ หากคุณมักคลิกลิงก์ในอีเมลหรือข้อความอย่างรวดเร็ว ข้อความ ASOS ปลอมที่น่าเชื่อก็มีแนวโน้มจะได้ผลกับคุณมากกว่า และหากที่อยู่อีเมลของคุณผูกกับบัญชีอื่น ๆ หลายบัญชี ฟิชชิ่งที่สำเร็จก็อาจลุกลามได้
ขั้นตอนปฏิบัติเพื่อปกป้องบัญชีของคุณ
- สงสัยข้อความที่เกี่ยวกับ ASOS ที่ไม่คาดคิด อย่าคลิกลิงก์ในอีเมลหรือข้อความ เปิดแอป ASOS หรือพิมพ์ที่อยู่ลงในเบราว์เซอร์ด้วยตัวเอง
- เปิดใช้งานการยืนยันตัวตนสองขั้นตอน (2FA) บนบัญชี ASOS ของคุณหากมีให้ใช้ และบนบัญชีอีเมลของคุณซึ่งเป็นกุญแจสำคัญในการรีเซ็ตทุกอย่างอื่น
- ใช้โปรแกรมจัดการรหัสผ่าน เพื่อสร้างรหัสผ่านที่ไม่ซ้ำกันสำหรับทุกเว็บไซต์ แม้ว่า ASOS จะระบุว่าไม่มีการเข้าถึงรหัสผ่าน การเปลี่ยนรหัสผ่านของคุณก็เป็นมาตรการป้องกันที่มีค่าใช้จ่ายต่ำ โดยเฉพาะหากคุณใช้ซ้ำที่อื่น
- ตรวจสอบรายการเดินบัญชีของคุณ แม้ไม่มีการเปิดเผยข้อมูลบัตร การตรวจสอบกิจกรรมธนาคารเป็นประจำก็เป็นแนวปฏิบัติที่ดี
- อย่าแชร์รหัสใด ๆ บริษัทที่ถูกต้องตามกฎหมายจะไม่ขอรหัส 2FA หรือหมายเลขบัตรเต็มของคุณทางข้อความ
- รายงานข้อความที่น่าสงสัย ต่อ ASOS และผู้ให้บริการอีเมลของคุณเพื่อให้สามารถกรองได้
บรรทัดล่าง
การรั่วไหลของข้อมูล ASOS และสิ่งที่ควรทำเกี่ยวกับมัน ขึ้นอยู่กับความระมัดระวังมากกว่าความตื่นตระหนก ASOS ระบุว่าข้อมูลรับรองพนักงานที่ถูกขโมยไปเปิดเผยรายละเอียดการติดต่อของลูกค้า แต่ไม่ใช่รหัสผ่านหรือบัตร ดังนั้นอันตรายหลักคือฟิชชิ่งแบบเจาะจง เปิด 2FA ใช้โปรแกรมจัดการรหัสผ่าน และปฏิบัติต่อข้อความที่เกี่ยวกับ ASOS ที่ไม่คาดคิดว่าเป็นสิ่งน่าสงสัยจนกว่าคุณจะยืนยันผ่านแอปหรือเว็บไซต์อย่างเป็นทางการ หากต้องการดูว่ากลยุทธ์การกดดันจากการรั่วไหลเกิดขึ้นในวงกว้างอย่างไร อ่านบทความของเราเกี่ยวกับกรณี ATB DataSuckers
