Tiistaina 6. lokakuuta ASOS:n, brittiläisen muotikauppiaan, asiakkaat saivat virallisesta sovelluksesta push-ilmoituksen otsikolla “ASOS HACKED”.

Siinä luki: “Hyvä Asosin tietosuojavastaava ja IT-osasto, olemme altistaneet Snowflake-instanssin kokonaan. Ottakaa meihin yhteyttä, tai vuodamme sen.”

Tällä viestillä hakkerit ottivat käyttöön uuden aseen kyberhyökkäysarsenaalissa: yritystilien murrot ja kiristysvaatimusten viemisen suoraan asiakkaille. Jos tällaiset ASOS-tyyliset hyökkäykset yleistyvät, niillä on vaikutuksia kaikkiin yrityksiin, jotka lähettävät säännöllisesti viestejä asiakkailleen. Massaviestit kuluttajille sähköpostitse tai sovelluksen sisäisinä viesteinä ovat helppo tapa vahvistaa luotetuilta lähettäjiltä tulevia tietojenkalasteluhyökkäyksiä, samaan tapaan kuin bitcoin-huijaus, joka lähetettiin kaapattujen Twitter-tilien(uusi ikkuna) kautta vuonna 2020. Se voi myös lisätä painetta yrityksiin maksaa lunnaita tai aiheuttaa yleistä kaaosta, joka vaikuttaa yritysten tulokseen.

Onneksi perustasolla ennaltaehkäisystrategiasi yrityksenä tai kuluttajana eivät juuri muutu. Tässä on se, mitä tiedämme.

Mitä ASOS:lle tapahtui?

Snowflake on tietojen tallennus- ja analyysipalvelu, jota ASOS käytti pilvi-infrastruktuurinaan. Hakkerit käyttivät sosiaalisen manipuloinnin hyökkäystä päästäkseen käsiksi työntekijän tiliin alustalla nimeltä Simon AI, joka on integroitu natiivisti Snowflakeen. Uutisraporttien(uusi ikkuna) mukaan hakkerit huijasivat työntekijää “esiintymällä luotettuna kontaktina kirjautumistietojen saamiseksi”.

(Snowflake itse ei altistunut tässä tapauksessa, mutta se on murrettu aiemmin(uusi ikkuna).)

Sieltä käsin he käynnistivät epätavanomaisen kiristysohjelmahyökkäyksen ja käyttivät ASOS-sovelluksen ilmoitusjärjestelmää lähettääkseen kiristysvaatimuksen ASOS-käyttäjille. Koska ilmoitus oli osoitettu yrityksen tietosuojavastaavalle (DPO) ja IT-osastolle, vaikuttaa siltä, että hakkerit tekivät uhkauksesta julkisen painostaakseen ASOS:a maksamaan.

Samana päivänä julkaistussa markkinatiedotteessa(uusi ikkuna) ASOS kertoi tutkivansa luvatonta toimintaa, joka liittyi asiakasviestintään käytettyihin alustoihin. Yhtiö ilmoitti asiakkailleen myös, että heidän henkilötietoihinsa, kuten nimiin ja yhteystietoihin, on saatettu päästä käsiksi, mutta salasanat ja maksutiedot eivät vaikuta kärsineen.

Seuraavina päivinä kuitenkin paljastui(uusi ikkuna), että hakkerit olivat todella keränneet tietoja mahdollisesti miljoonilta asiakkailta. Hakkerit ottivat yhteyttä BBC:hen(uusi ikkuna) ja antoivat esimerkin varastetuista tiedoista: nimiä, osoitteita, puhelinnumeroita, sähköposteja, asiakasnumeroita ja syntymäaikoja.

Mitä ASOS-asiakkaiden pitäisi tehdä?

Koska hakkerit saivat henkilötietoja, he voivat nyt käynnistää paljon tehokkaampia tietojenkalasteluhyökkäyksiä ASOS-asiakkaita vastaan.

Jos olet Asos-asiakas:

  • Luo uusi vahva salasana ASOS-tilillesi.
  • Jos joku ottaa sinuun yhteyttä väittäen olevansa ASOS:lta ja sanoo tarvitsevansa lisätietoja tai että tilisi on nyt lukittu, älä ole häneen yhteydessä. Ilmoita puhelusta, sähköpostista tai SMS:stä ASOS:lle heidän virallisen asiakaspalvelukanavansa(uusi ikkuna) kautta.
  • Jos saat tavallisuudesta poikkeavia sähköposteja muilta jälleenmyyjiltä tai joltakulta tuntemattomalta, joka pyytää sinulta lisätietoja tai kehottaa klikkaamaan linkkiä, älä klikkaa niitä tai ole niihin yhteydessä. Siirry aina suoraan yrityksen verkkosivustolle tai sovellukseen kirjautuaksesi sen sijaan, että käyttäisit odottamattomia linkkejä.

Mitä vaikutuksia tällä on?

Myös ASOS:n brändimaine on kärsinyt merkittävästi. Asiakastietoja ei ainoastaan varastettu, vaan hyökkäyksestä ilmoitettiin suoraan asiakkaille reaaliajassa: ASOS:lla ei ollut aikaa rajoittaa hyökkäystä ennen kuin se ilmoitti asiakkaille ja viranomaisille tietomurrosta.

ASOS:n osakkeet laskivat jopa 11 %(uusi ikkuna) hyökkäyksen jälkeen, kun huolestuneet asiakkaat julkaisivat siitä sosiaalisessa mediassa. Suora ilmoitus herätti merkittävästi enemmän ahdistusta ja kiireellisyyden tunnetta kuin tavanomainen suoraan yritykseen kohdistuva kiristyshyökkäys. Kohdistamalla käyttäjiin hakkerit aiheuttivat enemmän kaaosta, koska ei ollut selvää, kuinka laaja uhka oli.

Yritysten on tiedostettava, että hakkerit todennäköisesti kohdistavat tulevaisuudessa yhä enemmän niihin alustoihin, joita ne käyttävät viestintään asiakkaiden kanssa. Jos hakkerit voivat mennä suoraan asiakkaidesi luo, menetät välittömästi hallinnan vastatoimistasi ja asiakkaiden luottamus brändiisi romahtaa.

Miten yritykset voivat välttää tämänkaltaisen hyökkäyksen?

Hakkerit pääsivät käsiksi Snowflake-tiliin esiintymällä luotettuna ASOS-kontaktina, mikä on tyypillinen esimerkki tietojenkalastelusta. Siitä, miten suojata yrityksesi tietojenkalastelulta, on kirjoitettu laajasti, mutta yksi tärkeimmistä toimista, joita yrityksesi voi tehdä, on kaksivaiheisen tunnistautumisen (2FA) käyttöönotto kaikilla tileillä, joilla on pääsy arkaluonteisiin asiakastietoihin.

Ota 2FA käyttöön

Ottamalla 2FA käyttöön luot ylimääräisen suojakerroksen tileille, jota hakkerien on paljon vaikeampi murtaa. Yhdistämällä 2FA vahvaan ja yksilölliseen salasanaan jokaisella tilillä on tehokas ja yksinkertainen ratkaisu, jolla suojaat yrityksesi tietojenkalasteluhyökkäyksiltä.

Keskitä salasananhallinta

Kun otat käyttöön yrityssalasananhallinnan, jossa on sisäänrakennettu 2FA-todentaja, sähköpostialiakset ja turvallinen jakaminen, voit auttaa yritystäsi suojautumaan ASOS:aan kohdistuneen kaltaiselta hyökkäykseltä. Kirjautumisten suojaaminen päästä päähän -salatussa salasananhallinnassa, joka voi turvallisesti luoda, tallentaa ja täyttää automaattisesti salasanoja, auttaa tiimisi jäseniä työskentelemään turvallisesti ja suojaamaan arkaluonteiset tiedot, joihin heidän on päästävä käsiksi.

Vahvista viestintäkanavat

Usein tietoturva-auditoinnit alkavat kriittisistä järjestelmistä, kuten maksujärjestelmistä, ydinrekistereistä tai asiakkuudenhallintajärjestelmistä. ASOS-hakkerointi kuitenkin osoittaa, että viestintäkanavat ovat vaarallisia vektoreita, jotka on lukittava. Sosiaalisen median tilit, sovelluksen sisäiset ilmoitusalustat, sähköpostialustat kuten Mailchimp ja SMS-alustat olisi rajoitettava mahdollisimman harvoille työntekijöille ja 2FA otettava tiukasti käyttöön.

Vaikka sähköpostiosoite tai salasana kalasteltaisiin, hakkerit eivät pääse käsiksi 2FA:lla suojattuun tiliin. Jos jokaisella tilillä on yksilöllinen salasana ja se käyttää sähköpostialiasta, hakkerit eivät voi kokeilla salasanoja uudelleen useissa palveluissa tai rakentaa käyttäjäprofiilia sähköpostiosoitteelle.

Kun hakkerit kehittävät hyökkäysstrategioitaan edelleen, älä anna heille tilaisuutta vahingoittaa mainettasi ja kohdistaa hyökkäyksiä asiakkaisiisi. Ota käyttöön yrityssalasananhallinta, joka pitää sinut ja asiakkaasi turvassa.