Klienci ASOS dostali powiadomienie, że sklep został zhakowany. Było prawdziwe.

Około dziesiątej rano we wtorek telefony brytyjskich klientów ASOS zawibrowały. Powiadomienie naprawdę przyszło z aplikacji ASOS i nie dotyczyło wyprzedaży. Było zaadresowane do inspektora ochrony danych samej firmy.

"Szanowny inspektorze ochrony danych i dziale IT Asos, w pełni przejęliśmy instancję Snowflake. Porozmawiajcie z nami albo ją opublikujemy." Podpisane pseudonimem, z linkiem do kanału na Telegramie. ASOS potwierdził, że do zewnętrznych platform używanych do komunikacji z klientami uzyskano dostęp bez upoważnienia, twierdzi, że natychmiast ograniczył dostęp, i współpracuje ze specjalistami oraz służbami. Podstawowe dane osobowe, nazwiska i dane kontaktowe, mogły zostać ujawnione. Dane kart płatniczych i hasła do kont nie, według sprzedawcy. Snowflake, firma od hurtowni danych wymieniona w wiadomości, informuje, że jej własne dochodzenie jak dotąd nie wykazało naruszenia platformy.

Najbardziej godny uwagi jest tu sposób dostarczenia. Powiadomienie push z aplikacji, którą sami zainstalowaliście, to chyba najbardziej zaufany kanał, jaki istnieje, a skorzystał z niego ktoś obcy. Nawet jeśli wypłynęły tylko nazwiska i adresy e-mail, to dokładnie surowiec na najbliższe tygodnie przekonujących maili o "aktualizacji bezpieczeństwa ASOS". Załóżcie, że nadchodzą. Jeśli taka wiadomość dotrze, nie klikajcie linku: otwórzcie aplikację albo sami wpiszcie adres i poszukajcie komunikatu tam.

ASOS nie podał też, ilu klientów dotyczy sprawa, więc warto zerkać na maile z zamówieniami. A jeśli któraś z tych kolejnych wiadomości została już kliknięta, kontrola bezpieczeństwa w Tendvane szybko pokaże, co po niej wylądowało na komputerze.