ASOS đã xác nhận một vụ vi phạm dữ liệu, và bản cập nhật ngày 8 tháng 10 của họ mang đến cho người mua hàng bức tranh rõ ràng nhất cho đến nay. Nếu bạn đang thắc mắc về vụ vi phạm dữ liệu ASOS và cần làm gì tiếp theo, tóm tắt ngắn gọn là thế này: công ty cho biết thông tin đăng nhập của nhân viên bị đánh cắp đã dẫn đến việc lộ dữ liệu liên hệ của khách hàng, và cuộc điều tra của họ không phát hiện dấu hiệu truy cập vào mật khẩu hay thẻ thanh toán của khách hàng. Đó là tin tốt hơn so với những gì có thể đã xảy ra, nhưng không phải là lý do để bỏ qua sự cố này.
ASOS nói gì đã xảy ra
Theo bản cập nhật về vi phạm ngày 8 tháng 10, sự cố bắt nguồn từ thông tin đăng nhập của nhân viên bị đánh cắp. Nói cách khác, kẻ tấn công không nhất thiết phải phá vỡ hệ thống hướng tới khách hàng của ASOS bằng vũ lực. Thông tin đăng nhập thuộc về nhân viên đã bị lấy đi, và những thông tin đăng nhập đó có liên quan đến việc lộ thông tin liên hệ của khách hàng.
Bản cập nhật này diễn ra sau cảnh báo trước đó về ứng dụng giả mạo, mà nhìn lại thì có vẻ chỉ là dấu hiệu cảnh báo đầu tiên. Các bản tin xung quanh vụ việc cho thấy cảnh báo sớm đó là dấu hiệu của một vấn đề lớn hơn chứ không phải toàn bộ câu chuyện. ASOS sau đó đã công bố kết quả điều tra của mình, và đó là nguồn của những chi tiết dưới đây.
Chúng tôi chưa thấy con số nào về số lượng khách hàng bị ảnh hưởng trong các tài liệu hiện có, nên chúng tôi sẽ không đoán một con số. Nếu ASOS công bố một con số hoặc liên hệ trực tiếp với bạn, hãy coi đó là nguồn thông tin chính thống.
Những gì đã và chưa bị lộ
Những điểm chính từ cuộc điều tra của ASOS:
- Bị lộ: dữ liệu liên hệ của khách hàng.
- Không bị truy cập, theo ASOS: mật khẩu và chi tiết thẻ thanh toán của khách hàng.
Sự phân biệt đó rất quan trọng. Không có mật khẩu, kẻ tấn công không thể chỉ đơn giản đăng nhập vào tài khoản ASOS của bạn bằng dữ liệu từ sự cố này. Không có dữ liệu thẻ, không có đường dẫn trực tiếp đến chi tiết thanh toán của bạn thông qua vụ vi phạm này.
Cần nhớ rằng đây là những phát hiện của chính công ty. Các cuộc điều tra có thể thay đổi, và các công ty đôi khi cập nhật kết luận của mình. Hãy theo dõi các thông tin chính thức từ ASOS thay vì dựa vào tin đồn trên mạng xã hội.
Tại sao chi tiết liên hệ bị lộ lại tiếp tay cho lừa đảo phishing
Chi tiết liên hệ nghe có vẻ vô hại, nhưng chúng là nguyên liệu thô cho lừa đảo phishing có mục tiêu. Khi kẻ phạm tội biết tên, địa chỉ email hoặc số điện thoại của bạn và biết bạn mua hàng tại một nhà bán lẻ cụ thể, một tin nhắn giả sẽ trở nên thuyết phục hơn nhiều.
Hãy đề phòng những tin nhắn có vẻ đến từ ASOS hoặc từ một dịch vụ liên quan. Các mẫu phổ biến bao gồm:
- Cảnh báo rằng tài khoản của bạn đã bị khóa và cần "xác minh."
- Thông báo giao hàng hoặc hoàn tiền kèm liên kết đến một trang giả mạo.
- Tin nhắn đề cập đến chính vụ vi phạm và thúc giục bạn "bảo vệ tài khoản" bằng cách nhập mật khẩu hoặc số thẻ.
Điều cuối cùng là chiêu trò độc ác nhất: thông báo về vụ vi phạm trở thành mồi nhử. Vì ASOS nói rằng mật khẩu và thẻ không bị truy cập, bất kỳ tin nhắn nào yêu cầu bạn cung cấp chúng để phản hồi sự cố đều phải khiến bạn nghi ngờ ngay lập tức.
Đây cũng là lúc câu hỏi về VPN xuất hiện, vì nhiều độc giả hỏi về nó sau một vụ vi phạm. VPN mã hóa kết nối của bạn và ẩn địa chỉ IP của bạn khỏi các trang web bạn truy cập và khỏi những kẻ rình mò trên mạng cục bộ. Điều đó hữu ích, nhưng nó không ngăn được một email lừa đảo rơi vào hộp thư của bạn, và nó không bảo vệ bạn nếu bạn tự nguyện nhập mật khẩu vào một trang giả. Đối với sự cố này, VPN chỉ giải quyết một phần nhỏ của rủi ro. Thói quen của bạn quan trọng hơn nhiều.
Mô hình rộng hơn của các vụ vi phạm biến thành các chiến dịch gây áp lực không chỉ riêng ngành bán lẻ. Để có bối cảnh về cách điều đó diễn ra ở nơi khác, hãy xem bài viết của chúng tôi về sự cố ATB, nơi một nhóm tự gọi mình là DataSuckers được cho là đã đòi 400.000 USD.
Điều này có ý nghĩa gì với bạn
Nếu bạn có tài khoản ASOS, mức độ phơi nhiễm của bạn chủ yếu liên quan đến việc bị liên hệ ngoài ý muốn, chứ không phải tổn thất tài chính trực tiếp. Dựa trên những gì ASOS đã nói, mối đe dọa thực tế là một tin nhắn lừa đảo được dàn dựng kỹ lưỡng, chứ không phải ai đó đăng nhập với tư cách bạn.
Điều đó nói lên rằng, một vài điều làm tăng rủi ro của bạn. Nếu bạn dùng lại mật khẩu ASOS trên các trang khác, một vụ vi phạm riêng biệt vẫn có thể khiến bạn gặp nguy hiểm. Nếu bạn có xu hướng nhấp vào liên kết trong email hoặc tin nhắn văn bản một cách nhanh chóng, một tin nhắn ASOS giả thuyết phục sẽ dễ lừa được bạn hơn. Và nếu địa chỉ email của bạn gắn với nhiều tài khoản khác, một vụ lừa đảo thành công có thể gây hiệu ứng dây chuyền.
Các bước thiết thực để bảo vệ tài khoản của bạn
- Đối xử với những tin nhắn mang chủ đề ASOS bất ngờ bằng sự nghi ngờ. Không nhấp vào liên kết trong email hoặc tin nhắn văn bản. Hãy tự mở ứng dụng ASOS hoặc tự nhập địa chỉ vào trình duyệt của bạn.
- Bật xác thực hai yếu tố (2FA) trên tài khoản ASOS của bạn nếu có, và trên tài khoản email của bạn, vốn là chìa khóa để đặt lại mọi thứ khác.
- Sử dụng trình quản lý mật khẩu để tạo mật khẩu duy nhất cho mỗi trang web. Mặc dù ASOS nói rằng mật khẩu không bị truy cập, việc đổi mật khẩu của bạn là một biện pháp phòng ngừa ít tốn kém, đặc biệt nếu bạn đã dùng lại nó ở nơi khác.
- Kiểm tra sao kê của bạn. Ngay cả khi dữ liệu thẻ không bị lộ, việc thường xuyên xem xét hoạt động ngân hàng vẫn là một thói quen tốt.
- Không bao giờ chia sẻ mã. Các công ty hợp pháp sẽ không yêu cầu mã 2FA hoặc số thẻ đầy đủ của bạn qua tin nhắn.
- Báo cáo tin nhắn đáng ngờ cho ASOS và nhà cung cấp email của bạn để họ có thể lọc chúng.
Kết luận
Vụ vi phạm dữ liệu ASOS, và những gì cần làm về nó, xoay quanh sự cảnh giác chứ không phải hoảng loạn. ASOS nói rằng thông tin đăng nhập của nhân viên bị đánh cắp đã làm lộ chi tiết liên hệ của khách hàng nhưng không lộ mật khẩu hay thẻ, vì vậy mối nguy chính là lừa đảo phishing có mục tiêu. Hãy bật 2FA, sử dụng trình quản lý mật khẩu, và coi bất kỳ tin nhắn mang chủ đề ASOS bất ngờ nào là đáng ngờ cho đến khi bạn đã xác minh nó qua ứng dụng hoặc trang web chính thức. Để thấy cách các chiến thuật gây áp lực sau vi phạm diễn ra rộng hơn, hãy đọc bài viết của chúng tôi về vụ ATB DataSuckers.
