ASOS affirme que l'intrusion a commencé par un salarié et un contact convaincant

Mardi matin, les clients d'ASOS ont reçu une notification push depuis l'application de la boutique, adressée à son délégué à la protection des données et exigeant une prise de contact. La question évidente était de savoir comment quelqu'un avait pu aller assez loin à l'intérieur pour l'envoyer. ASOS vient de répondre.

"Nous avons découvert qu'une partie non autorisée a accédé au compte d'un salarié d'ASOS en se faisant passer pour un contact de confiance afin d'obtenir des identifiants de connexion", indique l'avis de l'entreprise. Ces identifiants ont ouvert les plateformes tierces qu'ASOS utilise pour s'adresser à ses clients. Noms complets, coordonnées et certaines informations de compte non personnelles ont pu être exposés ; les données de carte bancaire et les mots de passe des comptes ne l'ont pas été. ASOS indique qu'aucune action n'est requise de la part des clients sur leur compte, et qu'il faut traiter avec méfiance les messages non sollicités se réclamant de l'entreprise. À noter que le message des attaquants eux-mêmes évoquait une instance Snowflake entièrement compromise, ce qui ne correspond pas au tableau décrit par ASOS.

Il n'y a eu ici aucune faille astucieuse. Pas de serveur non corrigé, pas de faille zero-day. Quelqu'un a été convaincant au téléphone ou dans une fenêtre de discussion, et cela a suffi pour atteindre des millions de clients. C'est désormais la forme ordinaire d'une fuite de données, et c'est la raison pour laquelle le conseil ennuyeux revient sans cesse : quand un message vous demande de confirmer quelque chose, repassez par un chemin que vous avez choisi vous-même plutôt que par celui qu'on vous tend.

Pour vos propres comptes, ce qui émousse un mot de passe volé, c'est une deuxième étape sur les connexions qui comptent. Le contrôle vie privée et comptes de Tendvane vous montrera lesquelles, sur votre PC, n'ont encore rien d'autre derrière elles qu'un mot de passe.