Tirsdag den 6. oktober modtog kunderne hos ASOS, den britiske modeforhandler, en push-notifikation fra den officielle app med titlen »ASOS HACKED«.

Der stod: »Kære Asos DPO og IT, vi har fuldt ud kompromitteret Snowflake-instansen. Kontakt os, ellers lækker vi det.«

Med denne besked lancerede hackerne et nyt våben i cyberangrebets arsenal: at bryde ind i virksomhedskonti og rette deres afpresningskrav direkte mod kunderne. Hvis denne type ASOS-angreb bliver almindelige, har det konsekvenser for enhver virksomhed, der regelmæssigt sender beskeder til kunder. Massebeskeder til forbrugere via e-mails eller beskeder i appen er en nem måde at forstærke phishingangreb fra betroede afsendere, ligesom bitcoin-svindelnummeret, der blev sendt via hackede Twitter-konti(nyt vindue) i 2020. Det kan også lægge pres på virksomheder for at betale løsepenge eller skabe generelt kaos, der påvirker bundlinjen.

Heldigvis ændrer dine forebyggelsesstrategier sig ikke meget på et grundlæggende plan, hvad enten du er virksomhed eller forbruger. Her er, hvad vi ved.

Hvad skete der med ASOS?

Snowflake er en tjeneste til lagring og analyse af data, som ASOS brugte som skyinfrastruktur. Hackerne brugte et social engineering-angreb for at få adgang til en medarbejders konto på en platform kaldet Simon AI, som er integreret direkte i Snowflake. Nyheder rapporterede(nyt vindue), at hackerne narrede medarbejderen ved at »udgive sig for at være en betroet kontakt for at skaffe legitimationsoplysninger«.

(Snowflake blev ikke selv kompromitteret i dette tilfælde, men har tidligere været udsat for databrud(nyt vindue).)

Derfra iværksatte de et utraditionelt ransomwareangreb, hvor de brugte ASOS-appens notifikationssystem til at sende et afpresningskrav til ASOS’ brugere. Da notifikationen var stilet til virksomhedens DPO (databeskyttelsesrådgiver) og IT-afdeling, tyder det på, at hackerne offentliggjorde truslen for at lægge pres på ASOS for at få en betaling.

I en markedsmeddelelse(nyt vindue) samme dag oplyste ASOS, at virksomheden undersøgte uautoriseret aktivitet på platforme, der bruges til at kommunikere med kunder. ASOS underrettede også kunderne om, at uvedkommende muligvis havde fået adgang til deres personoplysninger, herunder navne og kontaktdetaljer, men at adgangskoder og betalingsoplysninger ikke så ud til at være påvirket.

I de følgende dage kom det dog frem(nyt vindue), at hackerne faktisk indsamlede data om potentielt millioner af kunder. Hackerne kontaktede BBC(nyt vindue) med et eksempel på de stjålne data: navne, adresser, telefonnumre, e-mails, kundenumre og fødselsdatoer.

Hvad bør ASOS’ kunder gøre?

Fordi hackerne har fået fat i personoplysninger, kan de nu iværksætte langt mere effektive phishingangreb mod ASOS’ kunder.

Hvis du er kunde hos Asos:

  • Opret en ny stærk adgangskode til din ASOS-konto.
  • Hvis nogen kontakter dig og udgiver sig for at være fra ASOS og siger, at de har brug for flere oplysninger, eller at din konto nu er låst, skal du ikke gå i dialog med dem. Underret ASOS om opkaldet, e-mailen eller SMS’en via deres officielle kundeservicekanal(nyt vindue).
  • Hvis du modtager usædvanlige e-mails fra andre forhandlere eller fra nogen, du ikke kender, som beder om flere oplysninger eller opfordrer dig til at klikke på et link, skal du ikke klikke eller gå i dialog med dem. Gå altid direkte til virksomhedens websted eller app for at logge ind i stedet for via uventede links, du modtager.

Hvad er konsekvenserne?

ASOS’ brandomdømme er også blevet påvirket betydeligt. Ikke alene er kundedata blevet stjålet, men angrebet blev annonceret direkte til kunderne i realtid: ASOS havde ikke tid til at inddæmme angrebet, før kunderne og myndighederne blev underrettet om et databrud.

ASOS-aktien faldt med op til 11 %(nyt vindue) efter angrebet, mens bekymrede kunder skrev om det på sociale medier. Den direkte notifikation skabte markant mere angst og uro end et standardafpresningsangreb rettet direkte mod en virksomhed. Ved at målrette angrebet mod brugerne skabte hackerne mere kaos, fordi det ikke stod klart, hvor omfattende truslen var.

Virksomheder skal være opmærksomme på, at de platforme, de bruger til at kommunikere med kunder, sandsynligvis i højere grad vil blive målrettet af hackere i fremtiden. Hvis hackerne kan gå direkte til dine kunder, mister du øjeblikkeligt kontrollen over din respons, og kundernes tillid til dit brand knuses.

Hvordan kan virksomheder undgå denne type angreb?

Hackerne fik adgang til Snowflake-kontoen ved at udgive sig for at være en betroet ASOS-kontakt, et typisk eksempel på phishing. Vi har skrevet meget om, hvordan du beskytter din virksomhed mod phishing, men en af de vigtigste handlinger, din virksomhed kan tage, er at aktivere tofaktorgodkendelse (2FA) for alle konti, der har adgang til følsomme kundedata.

Aktivér 2FA

Ved at aktivere 2FA skaber du et ekstra lag beskyttelse omkring konti, som er meget sværere for hackere at bryde igennem. Kombinerer du 2FA med en stærk, unik adgangskode til hver konto, er det en effektiv og enkel løsning, der beskytter din virksomhed mod phishingangreb.

Centralisér adgangskodehåndtering

Tager du en adgangskodeadministrator til virksomheder i brug med en indbygget 2FA-godkender, e-mail-aliaser og sikker deling, kan det hjælpe din virksomhed med at beskytte sig mod den type angreb, der blev iværksat mod ASOS. Når logins sikres i en end-to-end-krypteret adgangskodeadministrator, der sikkert kan generere, gemme og autofylde adgangskoder, hjælper det dine teammedlemmer med at arbejde sikkert og beskytte de følsomme data, de har brug for adgang til.

Hærd kommunikationskanalerne

Sikkerhedsrevisioner starter ofte med kritiske systemer som betalingssystemer, centrale databaser eller CRM-systemer. Men ASOS-hacket viser, at kommunikationskanaler er farlige vektorer, der skal lukkes ned. Konti på sociale medier, notifikationsplatforme i appen, e-mailplatforme som Mailchimp og SMS-platforme bør begrænses til et minimum af medarbejdere, og 2FA skal håndhæves strengt.

Selv hvis en e-mailadresse eller adgangskode bliver phishet, kan hackere ikke få adgang til en konto, der er beskyttet af 2FA. Hvis hver konto har en unik adgangskode og bruger et e-mail-alias, kan hackerne ikke afprøve adgangskoder på tværs af flere tjenester eller opbygge en aktivitetsprofil for e-mailadressen.

I takt med at hackerne fortsat udvikler deres angrebsstrategier, bør du ikke give dem mulighed for at skade dit omdømme og målrette angreb mod dine kunder. Tag en adgangskodeadministrator til virksomheder i brug, der holder dig og dine kunder sikre.