Le mardi 6 octobre, les clients d’ASOS, le détaillant britannique de mode, ont reçu une notification push de l’application officielle intitulée « ASOS HACKED ».

On pouvait y lire : « Cher délégué à la protection des données et service informatique d’Asos, nous avons entièrement compromis l’instance Snowflake. Contactez-nous, sinon nous divulguerons les données. »

Avec ce message, les pirates ont dégainé une nouvelle arme dans l’arsenal des cyberattaques : compromettre des comptes d’entreprise et adresser leurs demandes d’extorsion directement aux clients. Si ces attaques de type ASOS se généralisent, elles ont des répercussions pour toute entreprise qui envoie régulièrement des messages à ses clients. Les envois massifs de messages aux consommateurs, par e-mail ou via des messages dans l’application, constituent un moyen facile d’amplifier des attaques d’hameçonnage provenant d’expéditeurs approuvés, à l’image de l’arnaque au bitcoin diffusée via des comptes Twitter piratés(nouvelle fenêtre) en 2020. Cela peut aussi faire pression sur les entreprises pour qu’elles paient des rançons ou provoquer un chaos général qui pèse sur leurs résultats.

Heureusement, sur le fond, vos stratégies de prévention ne changent pas beaucoup, que vous soyez une entreprise ou un consommateur. Voici ce que nous savons.

Que s’est-il passé chez ASOS ?

Snowflake est un service de stockage et d’analyse de données qu’ASOS utilisait comme infrastructure cloud. Les pirates ont eu recours à une attaque d’ingénierie sociale pour accéder au compte d’un employé sur une plateforme appelée Simon AI, intégrée nativement à Snowflake. Selon des articles de presse(nouvelle fenêtre), les pirates ont piégé l’employé en « se faisant passer pour un contact de confiance afin d’obtenir ses identifiants de connexion ».

(Snowflake lui-même n’a pas été compromis dans ce cas précis, mais la plateforme a déjà fait l’objet de fuites de données(nouvelle fenêtre) par le passé.)

À partir de là, ils ont lancé une attaque par rançongiciel peu orthodoxe, en utilisant le système de notification de l’application ASOS pour envoyer une demande d’extorsion aux utilisateurs d’ASOS. Comme la notification était adressée au délégué à la protection des données (DPO) et au service informatique de l’entreprise, il semble que les pirates rendaient la menace publique afin de faire pression sur ASOS pour obtenir un paiement.

Dans une annonce au marché(nouvelle fenêtre) publiée le jour même, ASOS a déclaré enquêter sur une activité non autorisée impliquant des plateformes utilisées pour communiquer avec les clients. L’entreprise a également informé ses clients que leurs informations personnelles, notamment leurs noms et leurs informations de contact, avaient peut-être été consultées, mais que les mots de passe et les informations de paiement ne semblaient pas avoir été touchés.

Cependant, dans les jours qui ont suivi, il est apparu(nouvelle fenêtre) que les pirates avaient bel et bien collecté des données sur potentiellement des millions de clients. Les pirates ont contacté la BBC(nouvelle fenêtre) en fournissant un exemple des données volées : noms, adresses, numéros de téléphone, adresses e-mail, numéros de client et dates de naissance.

Que doivent faire les clients d’ASOS ?

Étant donné que les pirates ont obtenu des informations personnelles, ils peuvent désormais lancer des attaques d’hameçonnage bien plus efficaces contre les clients d’ASOS.

Si vous êtes client d’Asos :

  • Créez un nouveau mot de passe fort pour votre compte ASOS.
  • Si une personne se présentant comme un représentant d’ASOS vous contacte en affirmant avoir besoin d’informations complémentaires ou que votre compte est désormais bloqué, ne donnez pas suite. Signalez l’appel, l’e-mail ou le SMS à ASOS via leur canal officiel de service client(nouvelle fenêtre).
  • Si vous recevez des e-mails inhabituels d’autres enseignes ou d’une personne que vous ne connaissez pas, vous demandant des informations supplémentaires ou vous invitant à cliquer sur un lien, ne cliquez pas et ne donnez pas suite. Rendez-vous toujours directement sur le site internet ou l’application de l’entreprise pour vous connecter, plutôt que via des liens inattendus que vous recevez.

Quel est l’impact ?

La réputation de la marque ASOS a également été fortement touchée. Non seulement les données des clients ont été volées, mais l’attaque a été annoncée directement à ses clients en temps réel : ASOS n’a pas eu le temps de contenir l’attaque avant d’informer les clients et les autorités de régulation d’une fuite de données.

L’action ASOS a chuté de jusqu’à 11 %(nouvelle fenêtre) après l’attaque, des clients inquiets s’étant exprimés à ce sujet sur les réseaux sociaux. La notification directe a suscité bien plus d’anxiété et d’urgence qu’une attaque par extorsion classique visant directement une entreprise. En ciblant les utilisateurs, les pirates ont provoqué davantage de chaos, car l’ampleur de la menace n’était pas claire.

Les entreprises doivent savoir que les plateformes qu’elles utilisent pour communiquer avec leurs clients seront probablement davantage ciblées par les pirates à l’avenir. Si les pirates peuvent s’adresser directement à vos clients, vous perdez instantanément le contrôle de votre réponse et la confiance des clients dans votre marque s’effondre.

Comment les entreprises peuvent-elles éviter ce type d’attaque ?

Les pirates ont accédé au compte Snowflake en se faisant passer pour un contact de confiance d’ASOS, un exemple typique d’hameçonnage. Nous avons beaucoup écrit sur la manière de protéger votre entreprise contre l’hameçonnage, mais l’une des actions les plus importantes que votre entreprise puisse entreprendre est d’activer l’authentification à deux facteurs (A2F) pour tous les comptes ayant accès à des données clients sensibles.

Activez l’authentification à deux facteurs (A2F)

En activant l’A2F, vous ajoutez une couche de protection supplémentaire pour vos comptes, bien plus difficile à franchir pour les pirates. Associer l’A2F à un mot de passe fort et unique pour chaque compte constitue une solution efficace et simple pour protéger votre entreprise contre les attaques d’hameçonnage.

Centraliser la gestion des mots de passe

Adopter un gestionnaire de mots de passe pour entreprise doté d’un authentificateur A2F intégré, d’alias d’adresse e-mail et d’un partage sécurisé peut aider votre entreprise à se prémunir contre le type d’attaque lancé contre ASOS. Sécuriser les identifiants de connexion dans un gestionnaire de mots de passe chiffré de bout en bout, capable de générer, stocker et remplir automatiquement les mots de passe en toute sécurité, aide les membres de votre équipe à travailler sereinement et à protéger les données sensibles auxquelles ils doivent accéder.

Renforcer les canaux de communication

Les audits de sécurité commencent souvent par les systèmes critiques, comme les systèmes de paiement, les bases de données principales ou les outils de gestion de la relation client. Mais le piratage d’ASOS montre que les canaux de communication sont des vecteurs dangereux qu’il faut verrouiller. Les comptes de réseaux sociaux, les plateformes de notification intégrées aux applications, les plateformes d’e-mail comme Mailchimp et les plateformes SMS doivent être réservés au minimum d’employés, avec l’A2F appliquée de manière stricte.

Même si une adresse e-mail ou un mot de passe est obtenu par hameçonnage, les pirates ne peuvent pas accéder à un compte protégé par l’A2F. Si chaque compte dispose d’un mot de passe unique et utilise un alias d’adresse e-mail, les pirates ne peuvent pas réessayer les mots de passe sur plusieurs services ni établir un profil d’activité pour l’adresse e-mail.

À mesure que les pirates font évoluer leurs stratégies d’attaque, ne leur donnez pas l’occasion de nuire à votre réputation et de cibler vos clients. Adoptez un gestionnaire de mots de passe pour entreprise qui vous protège, vous et vos clients.