Am Dienstag, dem 6. Oktober, erhielten Kunden von ASOS, dem britischen Modehändler, eine Push-Benachrichtigung über die offizielle App mit dem Titel „ASOS HACKED“.

Darin hieß es: „Sehr geehrte ASOS-DPO- und IT-Abteilung, wir haben die Snowflake-Instanz vollständig kompromittiert. Nehmen Sie Kontakt mit uns auf, oder wir veröffentlichen die Daten.“

Mit dieser Nachricht haben Hacker eine neue Waffe im Arsenal der Cyberangriffe freigesetzt: das Eindringen in Unternehmenskonten und das direkte Richten ihrer Erpressungsforderungen an Kunden. Sollten solche Angriffe nach ASOS-Vorbild zur Normalität werden, hat das Konsequenzen für jedes Unternehmen, das regelmäßig Nachrichten an Kunden sendet. Massenhaft versendete Nachrichten an Verbraucher per E-Mail oder In-App-Nachrichten sind ein einfacher Weg, Phishing-Angriffe von vertrauenswürdigen Absendern zu verstärken – ähnlich dem Bitcoin-Betrug, der 2020 über gehackte Twitter-Konten(neues Fenster) verschickt wurde. Das kann auch den Druck auf Unternehmen erhöhen, Lösegeld zu zahlen, oder allgemeines Chaos auslösen, das die Bilanz der Unternehmen belastet.

Glücklicherweise ändern sich deine Präventionsstrategien als Unternehmen oder Verbraucher grundsätzlich kaum. Hier ist, was wir wissen.

Was ist bei ASOS passiert?

Snowflake ist ein Datenspeicher- und Analysedienst, den ASOS als Cloud-Infrastruktur nutzte. Die Hacker nutzten einen Social-Engineering-Angriff, um Zugriff auf das Konto eines Mitarbeiters auf einer Plattform namens Simon AI zu erlangen, die nativ in Snowflake integriert ist. Wie aus Medien-berichten(neues Fenster) hervorgeht, täuschten die Hacker den Mitarbeiter, indem sie sich „als vertrauenswürdiger Kontakt ausgaben, um Anmeldedaten zu erlangen“.

(Snowflake selbst wurde in diesem Fall nicht kompromittiert, doch das Unternehmen war bereits zuvor von einem Datenleck betroffen(neues Fenster).)

Von dort aus starteten sie einen ungewöhnlichen Ransomware-Angriff und nutzten das Benachrichtigungssystem der ASOS-App, um eine Erpressungsforderung an ASOS-Nutzer zu senden. Da die Benachrichtigung an den DPO (Datenschutzbeauftragten) und die IT-Abteilung des Unternehmens adressiert war, scheint es, dass die Hacker die Drohung öffentlich machten, um Druck auf ASOS auszuüben, eine Zahlung zu leisten.

In einer Marktmitteilung(neues Fenster) am selben Tag erklärte ASOS, dass das Unternehmen unautorisierte Aktivitäten untersuche, die Plattformen betreffen, die für die Kommunikation mit Kunden genutzt werden. Außerdem informierte es die Kunden darüber, dass möglicherweise auf ihre personenbezogenen Daten, einschließlich Namen und Kontaktdaten, zugegriffen wurde, dass jedoch Passwörter und Zahlungsdaten offenbar nicht betroffen waren.

In den folgenden Tagen stellte sich jedoch heraus(neues Fenster), dass die Hacker tatsächlich Daten über möglicherweise Millionen von Kunden gesammelt hatten. Die Hacker kontaktierten die BBC(neues Fenster) und legten ein Beispiel der gestohlenen Daten vor: Namen, Adressen, Telefonnummern, E-Mail-Adressen, Kundennummern und Geburtsdaten.

Was sollten ASOS-Kunden tun?

Da die Hacker personenbezogene Daten erbeutet haben, können sie nun deutlich wirksamere Phishing-Angriffe gegen ASOS-Kunden starten.

Wenn du Asos-Kunde bist:

  • Erstelle ein neues starkes Passwort für dein ASOS-Konto.
  • Wenn dich jemand kontaktiert und behauptet, von ASOS zu sein, und weitere Informationen verlangt oder sagt, dass dein Konto gesperrt wurde, lass dich nicht darauf ein. Melde den Anruf, die E-Mail oder die SMS an ASOS über deren offiziellen Kundenservice-Kanal(neues Fenster).
  • Wenn du ungewöhnliche E-Mails von anderen Händlern oder von jemandem erhältst, den du nicht kennst, und um weitere Informationen gebeten wirst oder du einen Link anklicken sollst, klicke nicht darauf und lass dich nicht darauf ein. Rufe immer direkt die Website oder App des Unternehmens auf, um dich anzumelden, statt über unerwartete Links, die du erhältst.

Welche Auswirkungen hat das?

Auch die Markenreputation von ASOS wurde erheblich beschädigt. Nicht nur wurden Kundendaten gestohlen, der Angriff wurde auch in Echtzeit direkt den Kunden mitgeteilt: ASOS hatte keine Zeit, den Angriff einzudämmen, bevor das Unternehmen Kunden und Aufsichtsbehörden über ein Datenleck informierte.

Die ASOS-Aktie fiel nach dem Angriff um bis zu 11 %(neues Fenster), als besorgte Kunden in den sozialen Medien darüber berichteten. Die direkte Benachrichtigung erzeugte deutlich mehr Angst und Dringlichkeit als ein üblicher Erpressungsangriff, der direkt an ein Unternehmen gerichtet ist. Indem sie die Nutzer ins Visier nahmen, verursachten die Hacker mehr Chaos, weil unklar war, wie umfangreich die Bedrohung wirklich war.

Unternehmen müssen sich darüber im Klaren sein, dass die Plattformen, die sie zur Kommunikation mit Kunden nutzen, künftig wahrscheinlich häufiger ins Visier von Hackern geraten. Wenn Hacker sich direkt an deine Kunden wenden können, verlierst du sofort die Kontrolle über deine Reaktion, und das Vertrauen der Kunden in deine Marke wird zerstört.

Wie können Unternehmen diese Art von Angriff vermeiden?

Die Hacker erlangten Zugriff auf das Snowflake-Konto, indem sie sich als vertrauenswürdiger ASOS-Kontakt ausgaben – ein typisches Beispiel für Phishing. Wir haben ausführlich darüber geschrieben, wie du dein Unternehmen vor Phishing schützt, doch eine der wichtigsten Maßnahmen, die dein Unternehmen ergreifen kann, ist die Aktivierung der Zwei-Faktor-Authentifizierung (2FA) für alle Konten mit Zugriff auf sensible Kundendaten.

2FA aktivieren

Durch die Aktivierung von 2FA schaffst du eine zusätzliche Schutzebene für Konten, die Hacker deutlich schwerer überwinden können. Die Kombination von 2FA mit einem starken, einzigartigen Passwort für jedes Konto ist eine effektive und einfache Lösung, um dein Unternehmen vor Phishing-Angriffen zu schützen.

Passwortverwaltung zentralisieren

Ein Passwort-Manager für Unternehmen mit integriertem 2FA-Authenticator, E-Mail-Aliassen und sicherem Teilen kann dein Unternehmen dabei unterstützen, sich gegen die Art von Angriff zu wappnen, die gegen ASOS gestartet wurde. Die Absicherung von Anmeldungen in einem Ende-zu-Ende-verschlüsselten Passwort-Manager, der Passwörter sicher generieren, speichern und automatisch ausfüllen kann, hilft deinen Teammitgliedern, sicher zu arbeiten und die sensiblen Daten zu schützen, auf die sie zugreifen müssen.

Kommunikationskanäle absichern

Sicherheitsaudits beginnen oft mit kritischen Systemen wie Zahlungssystemen, zentralen Datenbanken oder CRM-Systemen. Doch der ASOS-Hack zeigt, dass Kommunikationskanäle gefährliche Angriffsvektoren sind, die abgesichert werden müssen. Social-Media-Konten, In-App-Benachrichtigungsplattformen, E-Mail-Plattformen wie Mailchimp und SMS-Plattformen sollten auf ein Minimum an Mitarbeitern beschränkt werden, wobei 2FA strikt durchgesetzt werden muss.

Selbst wenn eine E-Mail-Adresse oder ein Passwort durch Phishing erbeutet wird, können Hacker nicht auf ein durch 2FA geschütztes Konto zugreifen. Wenn jedes Konto ein einzigartiges Passwort hat und einen E-Mail-Alias verwendet, können Hacker Passwörter nicht bei mehreren Diensten erneut ausprobieren oder ein Aktivitätsprofil für die E-Mail-Adresse erstellen.

Während Hacker ihre Angriffsstrategien ständig weiterentwickeln, solltest du ihnen keine Gelegenheit geben, deinen Ruf zu schädigen und deine Kunden ins Visier zu nehmen. Nutze einen Passwort-Manager für Unternehmen, der dich und deine Kunden schützt.