V úterý 6. října obdrželi zákazníci ASOS, britského módního prodejce, vyskakovací oznámení z oficiální aplikace s názvem „ASOS HACKED“.

V oznámení stálo: „Vážený DPO a IT oddělení ASOS, plně jsme kompromitovali instanci Snowflake. Spolupracujte s námi, nebo dojde k úniku.“

Touto zprávou hackeři vypustili novou zbraň do arzenálu kyberútoků: narušování firemních účtů a obracení se s vyděračskými požadavky přímo na zákazníky. Pokud se tyto útoky ve stylu ASOS stanou běžnými, má to důsledky pro každou firmu, která pravidelně posílá zprávy zákazníkům. Hromadné zprávy spotřebitelům prostřednictvím e-mailů nebo zpráv v aplikaci jsou snadným způsobem, jak zesílit phishingové útoky od důvěryhodných odesílatelů, podobně jako bitcoinový podvod rozeslaný prostřednictvím hacknutých účtů na Twitteru(nové okno) v roce 2020. Může to také zvýšit tlak na firmy, aby platily výkupné, nebo vyvolat všeobecný chaos, který ovlivňuje finanční výsledky firem.

Naštěstí se vaše preventivní strategie jako firmy nebo spotřebitele na základní úrovni příliš nemění. Tady je to, co víme.

Co se stalo s ASOS?

Snowflake je služba úložiště a analýzy dat, kterou ASOS používal jako cloudovou infrastrukturu. Hackeři použili útok sociálního inženýrství, aby získali přístup k účtu zaměstnance na platformě zvané Simon AI, která je nativně integrována do Snowflake. Zprávy uvádějí(nové okno), že hackeři oklamali zaměstnance tím, že se „vydávali za důvěryhodný kontakt, aby získali přihlašovací údaje“.

(Snowflake sám v tomto případě nebyl kompromitován, ale již byl dříve narušen(nové okno).)

Odtud spustili neortodoxní ransomware útok, s využitím oznamovacího systému aplikace ASOS, aby odeslali vyděračský požadavek uživatelům ASOS. Vzhledem k tomu, že oznámení bylo adresováno DPO (pověřenci pro ochranu osobních údajů) a IT oddělení společnosti, zdá se, že hackeři zveřejnili hrozbu, aby vyvinuli tlak na ASOS, aby provedl platbu.

V tržním oznámení(nové okno) téhož dne ASOS uvedl, že vyšetřuje neoprávněnou aktivitu týkající se platforem používaných ke komunikaci se zákazníky. Rovněž informoval zákazníky, že mohlo dojít k přístupu k jejich osobním údajům, včetně jmen a kontaktních údajů, ale že hesla a platební údaje zřejmě nebyly ovlivněny.

V následujících dnech se však ukázalo(nové okno), že hackeři skutečně shromáždili data o potenciálně milionech zákazníků. Hackeři kontaktovali BBC(nové okno) s příkladem ukradených dat: jména, adresy, telefonní čísla, e-maily, čísla zákazníků a data narození.

Co by měli zákazníci ASOS dělat?

Protože hackeři získali osobní údaje, mohou nyní spouštět mnohem účinnější phishing útoky proti zákazníkům ASOS.

Pokud jste zákazníkem ASOS:

    \n
  • Vytvořte nové silné heslo pro svůj účet ASOS.
    • \n \n
  • Pokud vás někdo kontaktuje s tvrzením, že je z ASOS, a žádá další informace nebo tvrdí, že váš účet je nyní zablokován, nekomunikujte s ním. Informujte ASOS o telefonátu, e-mailu nebo SMS prostřednictvím jejich oficiálního kanálu zákaznické péče(nové okno).
    • \n \n
  • Pokud obdržíte neobvyklé e-maily od jiných prodejců nebo od někoho, koho neznáte, s žádostí o další informace nebo s výzvou ke kliknutí na odkaz, neklikejte na ně ani s nimi nekomunikujte. Vždy přejděte přímo na web nebo do aplikace společnosti a přihlaste se, nikoli prostřednictvím neočekávaných odkazů, které obdržíte.
    • \n

Jaký je dopad?

Pověst značky ASOS byla také výrazně poškozena. Nejenže byla ukradena zákaznická data, ale útok byl oznámen přímo jejím zákazníkům v reálném čase: ASOS neměl čas útok zastavit, než informoval zákazníky a regulační orgány o úniku.

Akcie ASOS po útoku klesly až o 11 %(nové okno), protože znepokojení zákazníci o tom psali na sociálních sítích. Přímé oznámení vyvolalo výrazně větší úzkost a naléhavost než standardní vyděračský útok namířený přímo na firmu. Tím, že hackeři cílili na uživatele, způsobili větší chaos, protože nebylo jasné, jak rozsáhlá hrozba je.

Firmy si musí uvědomit, že platformy, které používají ke komunikaci se zákazníky, se pravděpodobně v budoucnu stanou častějším terčem hackerů. Pokud se hackeři mohou obrátit přímo na vaše zákazníky, okamžitě ztratíte kontrolu nad svou reakcí a důvěra zákazníků ve vaši značku je otřesena.

Jak se mohou firmy vyhnout tomuto typu útoku?

Hackeři získali přístup k účtu Snowflake tím, že se vydávali za důvěryhodný kontakt ASOS, což je typický příklad phishingu. Podrobně jsme psali o tom, jak chránit svou firmu před phishingem, ale jedním z nejdůležitějších kroků, které může vaše firma podniknout, je aktivace dvoufázového ověření (2FA) pro všechny účty s přístupem k citlivým zákaznickým datům.

Povolit 2FA

Aktivací 2FA vytvoříte další vrstvu ochrany účtů, kterou hackeři mnohem obtížněji překonají. Kombinace 2FA se silným a jedinečným heslem pro každý účet je účinným a jednoduchým řešením, jak chránit svou firmu před phishingovými útoky.

Centralizace správy hesel

Přijetí firemního správce hesel s vestavěným 2FA autentizátorem, e-mailovými aliasy a bezpečným sdílením může vaší firmě pomoci chránit se před typem útoku, který byl spuštěn na ASOS. Zabezpečení přihlášení v koncovém šifrovaném správci hesel, který dokáže bezpečně generovat, ukládat a automaticky vyplňovat hesla, pomáhá členům vašeho týmu pracovat bezpečně a chránit citlivá data, ke kterým potřebují přístup.

Zabezpečení komunikačních kanálů

Bezpečnostní audity často začínají u kritických systémů, jako jsou platební systémy, klíčové databáze nebo systémy pro řízení vztahů se zákazníky. Hacknutí ASOS však ukazuje, že komunikační kanály jsou nebezpečné vektory, které je třeba uzamknout. Účty na sociálních sítích, platformy pro oznámení v aplikaci, e-mailové platformy jako Mailchimp a SMS platformy by měly být omezeny na minimální počet zaměstnanců s přísně vynuceným 2FA.

I když dojde k phishingu e-mailové adresy nebo hesla, hackeři nemohou získat přístup k účtu chráněnému 2FA. Pokud má každý účet jedinečné heslo a používá e-mailový alias, hackeři nemohou opakovat hesla u více služeb ani vytvořit profil aktivity pro e-mailovou adresu.

Jak hackeři neustále vyvíjejí své útočné strategie, nedávejte jim příležitost poškodit vaši pověst a zaměřit se na vaše zákazníky. Pořiďte si firemního správce hesel, který vás i vaše zákazníky udrží v bezpečí.