Παραβίαση ASOS: οι κωδικοί έμειναν ασφαλείς, τα στοιχεία επικοινωνίας όχι

Η επίσημη ενημέρωση της ASOS για τη μη εξουσιοδοτημένη ειδοποίηση της 6ης Οκτωβρίου 2026 καταγράφει πρόσβαση τρίτου σε ονόματα, στοιχεία επικοινωνίας και ορισμένες μη προσωπικές πληροφορίες λογαριασμού. Για τους κωδικούς λογαριασμών είναι ρητή: «No account passwords were accessed». Η έρευνα δεν βρήκε πρόσβαση ούτε σε στοιχεία καρτών πληρωμής.

Στις 8 Οκτωβρίου 2026, το ρεπορτάζ του The Record κατέγραψε τη νεότερη εξήγηση για το περιστατικό: ο εισβολέας απέσπασε διαπιστευτήρια εργαζομένου προσποιούμενος έμπιστη επαφή και τα χρησιμοποίησε σε πλατφόρμες που εξυπηρετούν την επικοινωνία με πελάτες. Η ειδοποίηση στην εφαρμογή περιείχε ισχυρισμό για παραβίαση περιβάλλοντος της Snowflake. Για πελάτες σε Ελλάδα και Κύπρο, η λήψη της ειδοποίησης είναι λόγος προσοχής, αλλά δεν δείχνει από μόνη της ποια δικά τους στοιχεία ήταν προσβάσιμα.

Πώς χρησιμοποιήθηκε το κανάλι ειδοποιήσεων

Η πρόσβαση στον λογαριασμό εργαζομένου ήταν το πρώτο βήμα της επίθεσης. Τα διαπιστευτήρια άνοιξαν στη συνέχεια πρόσβαση σε εξωτερικές πλατφόρμες που χρησιμοποιεί η ASOS για την επικοινωνία με τους πελάτες. Έτσι, ένα μήνυμα που έφτασε από την πραγματική εφαρμογή μπορούσε να έχει γραφτεί από μη εξουσιοδοτημένο αποστολέα.

Αυτή η διαδρομή εξηγεί γιατί η εμφάνιση της ειδοποίησης μέσα στην εφαρμογή δεν αρκούσε για να θεωρηθεί αξιόπιστο το περιεχόμενό της. Ο αποστολέας απευθυνόταν στην εταιρεία, ισχυριζόταν ότι είχε αποκτήσει πρόσβαση σε δεδομένα και παρέπεμπε σε εξωτερικό σύνδεσμο. Η αποστολή του μηνύματος αποδεικνύει κατάχρηση του καναλιού επικοινωνίας· ο ισχυρισμός του για το εύρος της πρόσβασης χρειάζεται ξεχωριστή τεκμηρίωση.

Μετά τον εντοπισμό του περιστατικού, η πρόσβαση στις επηρεασμένες πλατφόρμες περιορίστηκε και ξεκίνησε έρευνα με εσωτερικούς και εξωτερικούς ειδικούς. Η εταιρεία συνεργάζεται με τις αρμόδιες αρχές. Τα έως τώρα ευρήματα ξεχωρίζουν την πρόσβαση στον λογαριασμό εργαζομένου, τη χρήση των πλατφορμών επικοινωνίας και τις κατηγορίες πληροφοριών που ήταν προσβάσιμες: δεν είναι το ίδιο στάδιο του περιστατικού.

Τι εκτέθηκε και τι γνωρίζει ο κάθε πελάτης

Η δημοσιοποιημένη εικόνα αφορά κατηγορίες δεδομένων, όχι έναν κατάλογο με το περιεχόμενο κάθε λογαριασμού. Αυτό έχει σημασία για όποιον έλαβε την ειδοποίηση: γνωρίζει ότι χρησιμοποιήθηκε μη εξουσιοδοτημένα το κανάλι μέσω του οποίου έφτασε το μήνυμα, αλλά δεν μπορεί να προσδιορίσει από την ειδοποίηση μόνη της ποια στοιχεία του είδε ο εισβολέας.

• Υπήρξε πρόσβαση: σε ονόματα, στοιχεία επικοινωνίας και ορισμένες μη προσωπικές πληροφορίες σχετικές με λογαριασμούς. Δεν έχει δημοσιοποιηθεί αναλυτικά ποια πεδία περιλαμβάνονται στα στοιχεία επικοινωνίας ή ποιες πληροφορίες αντιστοιχούν σε κάθε πελάτη.
• Δεν βρέθηκε πρόσβαση: σε κωδικούς σύνδεσης λογαριασμών ASOS και στοιχεία καρτών πληρωμής. Αυτό είναι το κρίσιμο εύρημα για την απόφαση σχετικά με αλλαγή κωδικού ή αντικατάσταση κάρτας εξαιτίας του συγκεκριμένου περιστατικού.
• Δεν έχει διευκρινιστεί: ο αριθμός των πελατών των οποίων τα στοιχεία ήταν προσβάσιμα, το ακριβές σύνολο δεδομένων ανά άτομο και αν υπάρχει ειδική κατανομή για Ελλάδα ή Κύπρο. Η χώρα κατοικίας δεν επιτρέπει προς το παρόν σε έναν πελάτη να θεωρήσει ότι περιλαμβάνεται ή εξαιρείται.

Η διάκριση ανάμεσα στα στοιχεία επικοινωνίας και στους κωδικούς έχει πρακτική συνέπεια. Το όνομα ή ένας τρόπος επικοινωνίας δεν δίνει από μόνο του πρόσβαση στον λογαριασμό, μπορεί όμως να χρησιμοποιηθεί σε μήνυμα που απευθύνεται προσωπικά στον παραλήπτη και εμφανίζεται ως επικοινωνία της ASOS. Γι’ αυτό ένα μεταγενέστερο αίτημα για κωδικό, κωδικό ασφαλείας ή στοιχεία πληρωμής χρειάζεται προσοχή ακόμη κι αν περιέχει σωστά προσωπικά στοιχεία.

Χρειάζεται αλλαγή κωδικού ή κάρτας;

Με βάση τα ευρήματα που έχουν δημοσιοποιηθεί, δεν έχει ζητηθεί από τους πελάτες να αλλάξουν τον κωδικό ASOS ή να κάνουν άλλη ενέργεια στον λογαριασμό τους εξαιτίας του περιστατικού. Δεν προκύπτει επίσης λόγος προληπτικής αντικατάστασης κάρτας μόνο επειδή κάποιος έλαβε την ειδοποίηση. Η προτεραιότητα είναι να αναγνωρίζονται απρόσμενα μηνύματα και κλήσεις που ζητούν στοιχεία στο όνομα της εταιρείας.

Η βρετανική αρχή προστασίας δεδομένων ICO συνιστά αποφυγή συνδέσμων και συνημμένων σε απρόσμενη επικοινωνία, έλεγχο τραπεζικών λογαριασμών και διαδικτυακών υπηρεσιών για ασυνήθιστη δραστηριότητα και αποχή από την κοινοποίηση προσωπικών ή οικονομικών στοιχείων ως απάντηση σε τέτοια αιτήματα. Όποιος επιλέξει να αλλάξει κωδικό μπορεί να συνδεθεί απευθείας από τον επίσημο ιστότοπο ή την εφαρμογή. Πρόκειται για προσωπική προφύλαξη, όχι για μέτρο που επιβάλλεται από διαπιστωμένη πρόσβαση στους κωδικούς ASOS.

Η εταιρεία αναφέρει ότι θα επικοινωνήσει απευθείας με πελάτες για τους οποίους η συνεχιζόμενη έρευνα δείξει ανάγκη πρόσθετης ενημέρωσης, υποστήριξης ή ενέργειας. Ως τότε, ένα μήνυμα που πιέζει τον παραλήπτη να ακολουθήσει σύνδεσμο ή να αποκαλύψει στοιχεία δεν αποκτά αξιοπιστία επειδή αναφέρει το όνομά του ή επειδή φαίνεται να σχετίζεται με την ειδοποίηση. Για τους πελάτες που περιμένουν ατομική ενημέρωση, αυτή είναι η ουσιαστική διάκριση ανάμεσα στα επιβεβαιωμένα ευρήματα και σε ένα νέο αίτημα από άγνωστο αποστολέα.

Διαβάστε επίσης:

• $100 εκατ. για creators: οι δεσμεύσεις υπάρχουν, τα συμβόλαια όχι
• Gemini Enterprise: οι πράκτορες ασφαλείας περνούν στη δράση
• Τα έργα ΤΠΕ μετά το RRF: η χρηματοδότηση αλλάζει, όχι οι προθεσμίες