El martes 6 de octubre, los clientes de ASOS, la minorista de moda británica, recibieron una notificación push de la aplicación oficial con el título «ASOS HACKED».

En ella se leía: «Estimado DPO y departamento de TI de Asos, hemos comprometido por completo la instancia de Snowflake. Comuníquense con nosotros o la filtraremos».

Con este mensaje, los hackers desataron una nueva arma en el arsenal de los ciberataques: vulnerar cuentas empresariales y llevar sus exigencias de extorsión directamente a los clientes. Si estos ataques al estilo ASOS se vuelven algo común, tendrán implicaciones para cualquier empresa que envíe mensajes a sus clientes con regularidad. Los mensajes masivos a los consumidores por correo electrónico o dentro de la aplicación son una forma sencilla de amplificar los ataques de suplantación de remitentes de confianza, de manera similar a la estafa con bitcoines que se envió a través de cuentas de Twitter hackeadas(nueva ventana) en 2020. También puede aumentar la presión sobre las empresas para que paguen rescates o provocar un caos general que afecte sus resultados financieros.

Por suerte, en esencia, sus estrategias de prevención como empresa o consumidor no cambian mucho. Esto es lo que sabemos.

¿Qué le ocurrió a ASOS?

Snowflake es un servicio de almacenamiento y análisis de datos que ASOS usaba como infraestructura en la nube. Los hackers usaron un ataque de ingeniería social para acceder a la cuenta de un empleado en una plataforma llamada Simon AI, que está integrada de forma nativa en Snowflake. Según los informes(nueva ventana) de prensa, los hackers engañaron al empleado «haciéndose pasar por un contacto de confianza para obtener credenciales de inicio de sesión».

(Snowflake no se vio comprometida en esta ocasión, pero ya ha sufrido vulneraciones(nueva ventana) anteriormente).

Desde allí, lanzaron un ataque poco convencional de ransomware y usaron el sistema de notificaciones de la aplicación de ASOS para enviar una exigencia de extorsión a los usuarios de ASOS. Como la notificación estaba dirigida al DPO (oficial de protección de datos) y al departamento de TI de la empresa, parece que los hackers hicieron pública la amenaza para presionar a ASOS a pagar.

En un anuncio al mercado(nueva ventana) ese mismo día, ASOS dijo que estaba investigando actividad no autorizada relacionada con plataformas usadas para comunicarse con los clientes. También notificó a los clientes que es posible que se haya accedido a su información personal, incluidos nombres y detalles de contacto, pero que las contraseñas y los detalles de pago no parecían haberse visto afectados.

Sin embargo, en los días siguientes se reveló(nueva ventana) que los hackers sí recopilaron datos de potencialmente millones de clientes. Los hackers contactaron con la BBC(nueva ventana) y compartieron un ejemplo de los datos robados: nombres, direcciones, números de teléfono, correos electrónicos, números de cliente y fechas de nacimiento.

¿Qué deben hacer los clientes de ASOS?

Como los hackers obtuvieron información personal, ahora pueden lanzar ataques de suplantación mucho más eficaces contra los clientes de ASOS.

Si es cliente de Asos:

  • Cree una nueva contraseña segura para su cuenta de ASOS.
  • Si alguien lo contacta diciendo ser de ASOS y que necesita más información o que su cuenta está bloqueada, no interactúe con esa persona. Informe a ASOS sobre la llamada, el correo electrónico o el SMS a través de su canal oficial de atención al cliente(nueva ventana).
  • Si recibe correos electrónicos inusuales de otras tiendas o de alguien que no conoce en los que le pidan más información o le digan que haga clic en un enlace, no haga clic ni interactúe con ellos. Navegue siempre directamente al sitio web o la aplicación de la empresa para iniciar sesión, en lugar de hacerlo a través de enlaces inesperados que reciba.

¿Cuál es el impacto?

La reputación de marca de ASOS también se ha visto muy afectada. No solo se robaron los datos de los clientes, sino que el ataque se anunció directamente a los clientes en tiempo real: ASOS no tuvo tiempo de contener el ataque antes de notificar a los clientes y a los reguladores sobre una vulneración.

Las acciones de ASOS cayeron hasta un 11 %(nueva ventana) tras el ataque, mientras los clientes preocupados publicaban al respecto en las redes sociales. La notificación directa generó mucha más ansiedad y urgencia que un ataque de extorsión habitual dirigido directamente a una empresa. Al dirigirse a los usuarios, los hackers causaron más caos porque no estaba claro hasta qué punto llegaba la amenaza.

Las empresas deben ser conscientes de que es probable que los hackers ataquen cada vez más las plataformas que usan para comunicarse con los clientes. Si los hackers pueden llegar directamente a sus clientes, pierde el control de su respuesta al instante y la confianza de los clientes en su marca se destruye.

¿Cómo pueden las empresas evitar este tipo de ataque?

Los hackers accedieron a la cuenta de Snowflake haciéndose pasar por un contacto de confianza de ASOS, un ejemplo típico de suplantación. Hemos escrito mucho sobre cómo proteger su empresa contra la suplantación, pero una de las acciones más importantes que puede tomar es activar la autenticación de dos factores (2FA) en todas las cuentas con acceso a datos sensibles de los clientes.

Activar 2FA

Al activar la 2FA, crea una capa adicional de protección para las cuentas que a los hackers les resulta mucho más difícil vulnerar. Combinar la 2FA con una contraseña segura y única para cada cuenta es una solución eficaz y sencilla para proteger su empresa de los ataques de suplantación.

Centralizar la gestión de contraseñas

Adoptar un gestor de contraseñas para empresas con un autenticador 2FA integrado, alias de correo y uso compartido seguro puede ayudar a su empresa a protegerse contra el tipo de ataque lanzado contra ASOS. Proteger los inicios de sesión en un gestor de contraseñas cifrado de extremo a extremo, que puede generar, almacenar y completar automáticamente contraseñas de forma segura, ayuda a los miembros de su equipo a trabajar con seguridad y a proteger los datos sensibles a los que necesitan acceder.

Reforzar la seguridad de los canales de comunicación

A menudo, las auditorías de seguridad comienzan con sistemas críticos como los sistemas de pago, las bases de datos principales o los gestores de relaciones con clientes. Pero el hackeo de ASOS demuestra que los canales de comunicación son vectores peligrosos que deben protegerse. Las cuentas de redes sociales, las plataformas de notificaciones dentro de la aplicación, las plataformas de correo electrónico como Mailchimp y las plataformas de SMS deben restringirse al mínimo número de empleados, con la 2FA aplicada de forma estricta.

Aunque se robe una dirección de correo electrónico o una contraseña mediante suplantación, los hackers no pueden acceder a una cuenta protegida con la 2FA. Si cada cuenta tiene una contraseña única y usa un alias de correo, los hackers no pueden reintentar contraseñas en varios servicios ni crear un perfil de actividad para la dirección de correo electrónico.

A medida que los hackers siguen perfeccionando sus estrategias de ataque, no les dé la oportunidad de dañar su reputación y atacar a sus clientes. Adopte un gestor de contraseñas para empresas que lo mantenga seguro a usted y a sus clientes.