El martes 6 de octubre, los clientes de ASOS, la empresa británica de moda, recibieron una notificación push de la aplicación oficial con el título «ASOS HACKED».

El mensaje decía: «Estimados DPO y departamento de TI de Asos: hemos comprometido por completo la instancia de Snowflake. Comuníquense con nosotros o la filtraremos».

Con este mensaje, los hackers desataron una nueva arma en el arsenal de los ciberataques: vulnerar cuentas corporativas y llevar sus exigencias de extorsión directamente a los clientes. Si estos ataques al estilo de ASOS se vuelven habituales, tendrán implicaciones para cualquier empresa que envíe mensajes a sus clientes con regularidad. Los mensajes masivos a los consumidores a través de correos electrónicos o mensajes dentro de la aplicación son una forma sencilla de amplificar los ataques de suplantación procedentes de remitentes de confianza, similares a la estafa de bitcoin enviada a través de cuentas de Twitter hackeadas(ventana nueva) en 2020. También puede ejercer presión sobre las empresas para que paguen rescates o provocar un caos general que afecte a sus resultados.

Por suerte, en lo esencial, las estrategias de prevención apenas cambian, tanto si eres una empresa como un consumidor. Esto es lo que sabemos.

¿Qué le ha pasado a ASOS?

Snowflake es un servicio de almacenamiento y análisis de datos que ASOS utilizaba como infraestructura en la nube. Los hackers utilizaron un ataque de ingeniería social para acceder a la cuenta de un empleado en una plataforma llamada Simon AI, integrada de forma nativa en Snowflake. Según los informes(ventana nueva) de prensa, los hackers engañaron al empleado «haciéndose pasar por un contacto de confianza para obtener las credenciales de inicio de sesión».

(En este caso, Snowflake no se vio comprometido, pero ya había sido vulnerado anteriormente(ventana nueva).)

Desde ahí, lanzaron un ataque de ransomware poco ortodoxo: utilizaron el sistema de notificaciones de la aplicación de ASOS para enviar una exigencia de extorsión a los usuarios de ASOS. Dado que la notificación estaba dirigida al DPO (responsable de protección de datos) y al departamento de TI de la empresa, parece que los hackers hicieron pública la amenaza para presionar a ASOS y que realizara un pago.

En un anuncio al mercado(ventana nueva) publicado ese mismo día, ASOS afirmó que estaba investigando actividad no autorizada relacionada con las plataformas que utiliza para comunicarse con los clientes. También notificó a los clientes que es posible que se haya accedido a su información personal, incluidos nombres y detalles de contacto, pero que las contraseñas y los datos de pago no parecían haberse visto afectados.

Sin embargo, en los días siguientes se reveló(ventana nueva) que los hackers sí que recopilaron datos de posiblemente millones de clientes. Los hackers contactaron con la BBC(ventana nueva) para mostrar un ejemplo de los datos robados: nombres, direcciones, números de teléfono, correos electrónicos, números de cliente y fechas de nacimiento.

¿Qué deben hacer los clientes de ASOS?

Como los hackers obtuvieron información personal, ahora pueden lanzar ataques de suplantación mucho más eficaces contra los clientes de ASOS.

Si eres cliente de Asos:

  • Crea una nueva contraseña segura para tu cuenta de ASOS.
  • Si alguien se pone en contacto contigo diciendo que es de ASOS y que necesita más información o que tu cuenta está bloqueada, no interactúes con esa persona. Informa a ASOS de la llamada, el correo electrónico o el SMS a través de su canal oficial de atención al cliente(ventana nueva).
  • Si recibes correos electrónicos poco habituales de otros comercios o de alguien que no conoces y que te pide más información o te dice que hagas clic en un enlace, no hagas clic ni interactúes con ellos. Accede siempre directamente al sitio web o a la aplicación de la empresa para iniciar sesión, en lugar de hacerlo a través de enlaces inesperados que recibas.

¿Cuál es el impacto?

La reputación de marca de ASOS también se ha visto muy afectada. No solo se han robado los datos de los clientes, sino que el ataque se anunció directamente a los clientes en tiempo real: ASOS no tuvo tiempo de contener el ataque antes de notificar a los clientes y a los reguladores la vulneración.

Las acciones de ASOS cayeron hasta un 11 %(ventana nueva) tras el ataque, mientras los clientes preocupados publicaban al respecto en las redes sociales. La notificación directa generó bastante más ansiedad y urgencia que un ataque de extorsión dirigido directamente a una empresa. Al dirigirse a los usuarios, los hackers causaron más caos porque no estaba claro hasta qué punto llegaba la amenaza.

Las empresas deben ser conscientes de que probablemente los hackers ataquen cada vez más las plataformas que utilizan para comunicarse con los clientes. Si los hackers pueden dirigirse directamente a tus clientes, pierdes el control de la respuesta al instante y la confianza de los clientes en tu marca se rompe.

¿Cómo pueden las empresas evitar este tipo de ataque?

Los hackers accedieron a la cuenta de Snowflake haciéndose pasar por un contacto de confianza de ASOS, un ejemplo típico de suplantación. Hemos escrito mucho sobre cómo proteger tu empresa contra la suplantación, pero una de las medidas más importantes que puede adoptar tu empresa es activar la autenticación de dos factores (2FA) en todas las cuentas con acceso a datos confidenciales de los clientes.

Activar 2FA

Al activar la 2FA, creas una capa adicional de protección para las cuentas que resulta mucho más difícil de vulnerar para los hackers. Combinar la 2FA con una contraseña segura y única para cada cuenta es una solución eficaz y sencilla para proteger tu empresa de los ataques de suplantación.

Centralizar la gestión de contraseñas

Adoptar un gestor de contraseñas para empresas con un autenticador 2FA integrado, alias de correo electrónico y uso compartido seguro puede ayudar a tu empresa a protegerse contra el tipo de ataque lanzado contra ASOS. Proteger los inicios de sesión en un gestor de contraseñas cifrado de extremo a extremo, capaz de generar, almacenar y rellenar automáticamente contraseñas de forma segura, ayuda a los miembros de tu equipo a trabajar de forma segura y a proteger los datos confidenciales a los que necesitan acceder.

Reforzar los canales de comunicación

A menudo, las auditorías de seguridad empiezan por sistemas críticos como los sistemas de pago, las bases de datos principales o los gestores de relaciones con clientes. Pero el hackeo de ASOS demuestra que los canales de comunicación son vectores peligrosos que hay que blindar. Las cuentas de redes sociales, las plataformas de notificaciones dentro de la aplicación, las plataformas de correo electrónico como Mailchimp y las plataformas de SMS deben limitarse al mínimo número de empleados, con la 2FA estrictamente aplicada.

Aunque se robe una dirección de correo electrónico o una contraseña mediante suplantación, los hackers no pueden acceder a una cuenta protegida con 2FA. Si cada cuenta tiene una contraseña única y utiliza un alias de correo, los hackers no pueden probar de nuevo las contraseñas en varios servicios ni crear un perfil de actividad de la dirección de correo electrónico.

A medida que los hackers siguen evolucionando sus estrategias de ataque, no les des la oportunidad de dañar tu reputación y atacar a tus clientes. Adopta un gestor de contraseñas para empresas que te mantenga a ti y a tus clientes a salvo.