ASOS已确认发生数据泄露，其10月8日的更新为消费者提供了迄今为止最清晰的了解。如果你想知道ASOS数据泄露是怎么回事以及接下来该怎么做，简而言之：该公司表示，被盗的员工凭证导致了客户联系数据泄露，其调查未发现客户密码或支付卡被访问。这比可能的情况要好，但这并不意味着可以忽视这一事件。
ASOS称发生了什么
根据10月8日的泄露更新，该事件可追溯到被盗的员工凭证。换句话说，攻击者未必是强行突破了ASOS面向客户的系统。属于员工的凭证被获取，而这些凭证与客户联系信息的泄露有关。
该更新紧随早前的一则恶意应用警报，事后看来，那似乎只是第一个警示信号。围绕此案的报道表明，早期的警报是更大问题的端倪，而非事件的全貌。ASOS此后发布了其调查结果，以下细节正是来源于此。
在现有材料中，我们未看到任何关于受影响客户数量的数字，因此我们不会去猜测。如果ASOS公布数字或直接联系你，请将其视为权威来源。
哪些信息被泄露，哪些没有
ASOS调查的关键要点：
- 已泄露： 客户联系数据。
- 据ASOS称未被访问： 客户密码和支付卡详情。
这一区别很重要。没有密码，攻击者无法仅凭此次事件中的数据直接登录你的ASOS账户。没有卡片数据，此次泄露就没有直接通向你的支付详情的途径。
值得记住的是，这些是公司自己的调查结果。调查可能会有进展，公司有时也会更新其结论。请关注ASOS的官方通讯，而不是依赖社交媒体上的传言。
为什么泄露的联系方式会助长钓鱼攻击
联系方式听起来无害，但它们是定向钓鱼攻击的原材料。当犯罪分子知道你的姓名、电子邮件地址或电话号码，并且知道你在某家特定零售商购物时，一条伪造的信息就会变得可信得多。
预计会出现看似来自ASOS或相关服务的消息。常见模式包括：
- 警告你的账户已被锁定，需要“验证”。
- 带有指向仿冒页面链接的配送或退款通知。
- 提及泄露事件本身并敦促你通过输入密码或卡号来“保护你的账户”的消息。
最后一种是最残忍的转折：泄露公告本身成了诱饵。由于ASOS称密码和卡片未被访问，任何要求你为应对该事件而提供这些信息的消息都应立即引起怀疑。
这也引出了VPN的问题，因为许多读者在泄露事件后都会问到它。VPN会加密你的连接，并对你访问的网站和本地网络窥探者隐藏你的IP地址。这很有用，但无法阻止钓鱼邮件进入你的收件箱，如果你自愿将密码输入伪造页面，它也无法保护你。就此次事件而言，VPN只能应对风险中很小的一部分。你的习惯要重要得多。
泄露事件演变为施压 campaign 的更广泛模式并非零售业独有。要了解这在其他地方如何上演，请参阅我们对ATB事件的报道，其中一个自称DataSuckers的团体据称索要40万美元。
这对你意味着什么
如果你有ASOS账户，你所面临的风险主要是 unwanted contact，而非直接的经济损失。根据ASOS所说，现实的威胁是精心设计的诈骗信息，而不是有人冒充你登录。
话虽如此，有几件事会提高你的风险。如果你在其他网站上重复使用ASOS密码，另一次独立的泄露仍可能让你陷入危险。如果你倾向于快速点击电子邮件或短信中的链接，一条令人信服的伪造ASOS消息就更有可能对你奏效。如果你的电子邮件地址与许多其他账户绑定，一次成功的钓鱼攻击可能会产生连锁反应。
保护账户的实用步骤
- 对意外的ASOS主题消息保持怀疑。 不要点击电子邮件或短信中的链接。打开ASOS应用或自己在浏览器中输入网址。
- 启用双重身份验证（2FA），如果ASOS账户支持的话，并在你的电子邮件账户上启用——电子邮件是重置其他一切的关键。
- 使用密码管理器为每个网站创建唯一密码。尽管ASOS称密码未被访问，但更改密码是低成本的预防措施，尤其是如果你在其他地方重复使用了它。
- 检查你的账单。 即使没有卡片数据泄露，定期查看银行活动也是良好的做法。
- 绝不分享验证码。 合法公司不会通过消息索要你的2FA验证码或完整卡号。
- 举报可疑消息给ASOS和你的电子邮件提供商，以便它们被过滤。
底线
ASOS数据泄露以及应对之策，归根结底在于保持警惕而非恐慌。ASOS称被盗的员工凭证泄露了客户联系方式，但未泄露密码或卡片，因此主要危险是定向钓鱼攻击。开启2FA，使用密码管理器，并将任何意外的ASOS主题消息视为可疑，直到你通过官方应用或网站核实为止。要了解泄露施压策略如何在更广泛的范围内展开，请阅读我们关于ATB DataSuckers案件的文章。
