Klädjätten ASOS har utsatts för ett dataintrång där en angripare kommit åt kunduppgifter. Företaget uppger att varken lösenord eller betalkortsuppgifter har röjts och uppmanar inte kunder att byta lösenord. Däremot finns risk för bedrägeriförsök – och nya uppgifter visar att intrånget kan vara mer omfattande än vad ASOS först berättade.

Vad har hänt hos ASOS?

Den 6 oktober fick vissa ASOS-kunder en oväntad pushnotis genom företagets egen app. Meddelandet innehöll ett hot om att läcka information och en länk till meddelandetjänsten Telegram.

Två dagar senare, den 8 oktober, bekräftade ASOS att en obehörig person hade fått tillgång till kundinformation.

Enligt företaget började intrånget med att angriparen utgav sig för att vara en betrodd kontakt och lyckades lura till sig inloggningsuppgifter från en anställd. Med hjälp av medarbetarkontot kunde angriparen sedan komma åt information på externa plattformar som ASOS använder.

Det handlar alltså inte om att någon knäckt kundernas lösenord för att logga in på deras konton. Angriparen tog sig in via ett konto som användes i företagets verksamhet.

ASOS uppger att den obehöriga åtkomsten har stoppats. Företaget utreder fortfarande händelsen tillsammans med säkerhetsexperter och berörda myndigheter.

Vilka kunduppgifter har läckt från ASOS?

ASOS har bekräftat att angriparen kommit åt namn och kontaktuppgifter. Företaget uppger samtidigt att kundernas kontolösenord och betalkortsuppgifter inte har omfattats av intrånget.

Men enligt BBC, som har granskat delar av det stulna materialet, finns även mer detaljerad kundinformation bland uppgifterna.

Det är en viktig skillnad mellan vilka uppgifter som förekommer i det granskade materialet och vilka uppgifter som har läckt för varje enskild kund. Det finns ännu ingen fullständig offentlig redovisning som visar omfattningen på individnivå.

Uppgifterna om sökhistorik är särskilt intressanta. De innebär att angriparen i vissa fall kan känna till mer än en kunds namn och mejladress – exempelvis vilka produkter personen har sökt efter på ASOS.

Sådan information behöver inte räcka för att genomföra ett bedrägeri, men kan göra ett falskt meddelande betydligt mer övertygande.

Hur vet jag om mitt ASOS-konto är drabbat?

Den tydligaste varningssignalen är den obehöriga pushnotis som skickades den 6 oktober.

ASOS uppger att kunder som fick meddelandet kan vara berörda av intrånget. Det betyder däremot inte att alla som fick notisen har fått samma slags information röjd.

Om du inte fick notisen är det inte heller någon säker garanti för att dina uppgifter är opåverkade.

Hur många svenska kunder som omfattas är fortfarande oklart. ASOS har inte presenterat någon bekräftad svensk siffra eller någon offentlig tjänst där kunder kan kontrollera exakt vilka uppgifter som eventuellt har röjts.

Företaget meddelar att berörda kunder kommer att kontaktas direkt om ytterligare information, stöd eller åtgärder behövs.

Den som vill följa utvecklingen kan läsa ASOS svenska kundinformation om den obehöriga aviseringen.

Behöver jag byta lösenord på ASOS?

Nej, ASOS uppmanar för närvarande inte kunder att byta lösenord med anledning av intrånget.

Företagets besked bygger på att angriparen inte ska ha fått tillgång till kundernas lösenord. Det finns inte heller något generellt skäl att spärra betalkort enbart på grund av det som hittills framkommit.

Det betyder inte att kunder ska ignorera säkerheten kring sina konton.

Den som använder samma lösenord på flera tjänster kan med fördel byta till ett unikt lösenord för ASOS. Det är en allmän säkerhetsåtgärd, inte ett krav eller en särskild uppmaning från företaget efter intrånget.

Situationen är däremot annorlunda om du har följt en misstänkt länk och själv lämnat ut inloggningsuppgifter. Då bör lösenordet bytas omedelbart, oavsett vad ASOS säger om det ursprungliga intrånget.

Se upp för falska meddelanden från ASOS

Den största konkreta risken för kunderna är att röjda kontaktuppgifter används i nätfiske, även kallat phishing.

En bedragare som känner till ditt namn, din mejladress och kanske dina tidigare produktsökningar kan skriva ett meddelande som ser ut att komma från ASOS.

Det skulle exempelvis kunna handla om:

• En påstådd återbetalning där du måste ange kortuppgifter för att få pengarna.
• Ett meddelande om att ditt konto har spärrats och måste verifieras genom en länk.
• En leverans som påstås ha stoppats och kräver en mindre betalning.
• Ett säkerhetsmeddelande om dataintrånget där du uppmanas att logga in för att kontrollera dina uppgifter.

Detta är exempel på möjliga bedrägeriförsök, inte bekräftade kampanjer som har kopplats till intrånget.

Det som gör ASOS-fallet särskilt känsligt är att det ursprungliga obehöriga meddelandet faktiskt nådde kunder genom företagets egen app. Därför går det inte att avgöra om ett meddelande är säkert enbart genom att titta på avsändarnamnet.

Det säkraste är att öppna ASOS själv, antingen i den vanliga appen eller genom att skriva in webbadressen i webbläsaren. Följ inte en oväntad länk som kräver inloggning, betalning eller utlämnande av personuppgifter.

Var också försiktig om någon ringer och påstår sig hjälpa dig med ASOS-intrånget. Lägg på och kontakta företaget via dess officiella kundservice om du är osäker.

Vad gör jag om jag redan har klickat på en blufflänk?

Att bara öppna ett misstänkt meddelande innebär inte automatiskt att dina uppgifter har stulits. Vad du behöver göra beror framför allt på vad som hände efter att du klickade.

Har du skrivit in ditt ASOS-lösenord på en misstänkt webbplats bör du omedelbart byta lösenord via den riktiga tjänsten. Använder du samma lösenord någon annanstans behöver även de kontona säkras.

Har du lämnat ut kortuppgifter ska du kontakta banken för att få hjälp att skydda kortet och kontrollera eventuella transaktioner.

Om pengar har försvunnit eller någon har utnyttjat dina uppgifter bör du spara relevanta meddelanden och göra en polisanmälan. Misstänkta bluff-sms kan också vidarebefordras till 7726.

Hurbra har tidigare sammanställt fler praktiska råd i guiden om hur du känner igen bedrägerier och vad du gör om du blivit lurad.

ASOS utreder fortfarande intrånget

Det återstår flera frågor efter företagets besked den 8 oktober.

Det är ännu inte klarlagt hur många kunder som totalt har fått information röjd, hur många av dem som finns i Sverige eller exakt vilka uppgifter som omfattas för varje person.

ASOS har stoppat den obehöriga åtkomsten, men den fortsatta utredningen kan ge en tydligare bild av intrångets omfattning.

För svenska kunder är rådet därför att vara extra uppmärksam på oväntade meddelanden som utger sig för att komma från ASOS, särskilt sådana som kräver en snabb åtgärd.

Det finns i nuläget ingen anledning till generellt lösenordsbyte eller kortspärr utifrån företagets uppgifter. Men om någon försöker utnyttja de röjda kontaktuppgifterna är det kundens förmåga att känna igen ett falskt meddelande som kan avgöra om ett nytt bedrägeri lyckas.