ASOS підтвердила витік даних, і її оновлення від 8 жовтня дає покупцям найчіткішу картину на сьогодні. Якщо ви запитуєте про витік даних ASOS і що робити далі, коротка версія така: компанія заявляє, що викрадені облікові дані співробітників призвели до розкриття контактних даних клієнтів, а її розслідування не виявило доступу до паролів клієнтів або платіжних карток. Це кращі новини, ніж могли бути, але це не привід ігнорувати інцидент.

Що ASOS каже про те, що сталося

Згідно з оновленням про витік від 8 жовтня, інцидент сягає корінням викрадених облікових даних співробітників. Іншими словами, зловмисники не обов'язково проламували клієнтські системи ASOS силою. Було отримано облікові дані, що належали співробітникам, і ці облікові дані були пов'язані з розкриттям контактної інформації клієнтів.

Оновлення вийшло після попереднього попередження про шкідливий застосунок, яке, озираючись назад, виявилося лише першою тривожною ознакою. Повідомлення про цю справу свідчать, що раннє попередження було натяком на більшу проблему, а не повною історією. З того часу ASOS опублікувала результати свого розслідування, і саме звідти походять наведені нижче деталі.

Ми не бачили жодної цифри щодо того, скільки клієнтів постраждало, в наявних матеріалах, тож не будемо її вигадувати. Якщо ASOS опублікує число або зв'яжеться з вами напряму, ставтеся до цього як до авторитетного джерела.

Що було і що не було розкрито

Ключові моменти з розслідування ASOS:

  • Розкрито: контактні дані клієнтів.
  • Не було доступу, за словами ASOS: паролі клієнтів і дані платіжних карток.

Ця різниця має значення. Без паролів зловмисники не можуть просто увійти у ваш обліковий запис ASOS, використовуючи дані з цього інциденту. Без даних карток немає прямого шляху до ваших платіжних даних через цей витік.

Варто пам'ятати, що це власні висновки компанії. Розслідування можуть розвиватися, і компанії іноді оновлюють свої висновки. Стежте за офіційними повідомленнями ASOS, а не покладайтеся на чутки в соціальних мережах.

Чому розкриті контактні дані живлять фішинг

Контактні дані звучать нешкідливо, але вони є сировиною для цільового фішингу. Коли злочинець знає ваше ім'я, адресу електронної пошти або номер телефону і знає, що ви купуєте в конкретному магазині, підроблене повідомлення стає набагато переконливішим.

Очікуйте повідомлень, які виглядають так, ніби вони надходять від ASOS або від пов'язаного сервісу. Поширені шаблони включають:

  • Попередження про те, що ваш обліковий запис заблоковано і потребує "перевірки".
  • Повідомлення про доставку або повернення коштів із посиланням на схожу сторінку.
  • Повідомлення, що посилається на сам витік і закликає вас "захистити обліковий запис", ввівши свій пароль або номер картки.

Останнє — найжорстокіший поворот: оголошення про витік стає приманкою. Оскільки ASOS каже, що паролі та картки не були скомпрометовані, будь-яке повідомлення, яке просить вас надати їх у відповідь на інцидент, має негайно викликати підозру.

Саме тут постає питання про VPN, оскільки багато читачів запитують про нього після витоку. VPN шифрує ваше з'єднання та приховує вашу IP-адресу від сайтів, які ви відвідуєте, і від локальних мережевих підслуховувачів. Це корисно, але це не зупиняє фішинговий лист від потрапляння у вашу поштову скриньку, і це не захистить вас, якщо ви добровільно введете свій пароль на підробленій сторінці. Для цього інциденту VPN охоплює лише вузьку частину ризику. Ваші звички мають набагато більше значення.

Ширша закономірність перетворення витоків на кампанії тиску не є унікальною для роздрібної торгівлі. Для контексту про те, як це відбувається в інших місцях, дивіться наш матеріал про інцидент ATB, де група, що називає себе DataSuckers, нібито вимагала $400K.

Що це означає для вас

Якщо у вас є обліковий запис ASOS, ваша схильність стосується головним чином небажаних контактів, а не прямих фінансових втрат. Виходячи з того, що сказала ASOS, реальна загроза — це добре складене шахрайське повідомлення, а не хтось, хто входить під вашим ім'ям.

Втім, кілька речей підвищують ваш ризик. Якщо ви використовуєте свій пароль ASOS на інших сайтах, окремий витік все ще може наразити вас на небезпеку. Якщо ви схильні швидко переходити за посиланнями в електронних листах або повідомленнях, переконлива підробка від ASOS з більшою ймовірністю спрацює на вас. А якщо ваша адреса електронної пошти прив'язана до багатьох інших облікових записів, успішний фішинг може мати каскадний ефект.

Практичні кроки для захисту ваших облікових записів

  1. Ставтеся до неочікуваних повідомлень на тему ASOS з підозрою. Не переходьте за посиланнями в електронних листах або повідомленнях. Відкрийте застосунок ASOS або введіть адресу в браузері самостійно.
  2. Увімкніть двофакторну автентифікацію (2FA) у вашому обліковому записі ASOS, якщо вона доступна, і в обліковому записі електронної пошти, який є ключем до скидання всього іншого.
  3. Використовуйте менеджер паролів для створення унікального пароля для кожного сайту. Навіть попри те, що ASOS каже, що паролі не були скомпрометовані, зміна вашого пароля є малозатратним запобіжним заходом, особливо якщо ви використовували його деінде.
  4. Перевіряйте свої виписки. Навіть без розкриття даних карток регулярний перегляд банківської активності є хорошою практикою.
  5. Ніколи не діліться кодами. Легітимні компанії не запитуватимуть ваш код 2FA або повний номер картки повідомленням.
  6. Повідомляйте про підозрілі повідомлення в ASOS і вашому постачальнику електронної пошти, щоб їх могли відфільтрувати.

Підсумок

Витік даних ASOS і що з ним робити зводиться до пильності, а не паніки. ASOS каже, що викрадені облікові дані співробітників розкрили контактні дані клієнтів, але не паролі чи картки, тому головна небезпека — це цільовий фішинг. Увімкніть 2FA, використовуйте менеджер паролів і ставтеся до будь-якого неочікуваного повідомлення на тему ASOS як до підозрілого, доки не перевірите його через офіційний застосунок або сайт. Щоб побачити, як тактика тиску після витоків розгортається ширше, читайте наш матеріал про справу ATB DataSuckers.