Pada Selasa, 6 Oktober, pelanggan ASOS, peritel fesyen asal Inggris, menerima notifikasi push dari aplikasi resmi dengan judul “ASOS DIRETAS.”

Bunyinya: “Kepada DPO dan TI Asos, kami telah sepenuhnya mengompromikan instans Snowflake. Berinteraksilah dengan kami, atau kami akan membocorkannya.”

Dengan pesan ini, peretas melepaskan senjata baru dalam gudang senjata serangan siber: membobol akun bisnis dan menyampaikan tuntutan pemerasan langsung kepada pelanggan. Jika serangan bergaya ASOS ini menjadi hal biasa, ada implikasi bagi bisnis mana pun yang rutin mengirim pesan kepada pelanggan. Pesan massal kepada konsumen melalui email atau pesan dalam aplikasi menjadi cara mudah untuk memperkuat serangan phishing dari pengirim tepercaya, serupa dengan penipuan bitcoin yang dikirim melalui akun Twitter yang dibobol(jendela baru) pada 2020. Hal ini juga dapat menambah tekanan pada perusahaan untuk membayar tebusan atau memicu kekacauan umum yang memengaruhi laba perusahaan.

Untungnya, secara mendasar, strategi pencegahan Anda sebagai bisnis atau konsumen tidak banyak berubah. Berikut yang kami ketahui.

Apa yang terjadi pada ASOS?

Snowflake adalah layanan penyimpanan dan analisis data yang digunakan ASOS sebagai infrastruktur cloud. Peretas menggunakan serangan rekayasa sosial untuk mendapatkan akses ke akun seorang karyawan di platform bernama Simon AI, yang terintegrasi secara native ke dalam Snowflake. Berita melaporkan(jendela baru) bahwa peretas menipu karyawan tersebut dengan “menyamar sebagai kontak tepercaya untuk memperoleh kredensial masuk”.

(Snowflake sendiri tidak dikompromikan dalam kasus ini, tetapi pernah dibobol sebelumnya(jendela baru).)

Dari sana, mereka melancarkan serangan ransomware yang tidak lazim, menggunakan sistem notifikasi aplikasi ASOS untuk mengirimkan tuntutan pemerasan kepada pengguna ASOS. Karena notifikasi tersebut ditujukan kepada petugas perlindungan data (DPO) dan departemen TI perusahaan, tampaknya peretas mempublikasikan ancaman itu untuk menekan ASOS agar melakukan pembayaran.

Dalam pengumuman pasar(jendela baru) pada hari yang sama, ASOS mengatakan sedang menyelidiki aktivitas tidak sah yang melibatkan platform yang digunakan untuk berkomunikasi dengan pelanggan. ASOS juga memberi tahu pelanggan bahwa informasi pribadi mereka, termasuk nama dan rincian kontak, mungkin telah diakses, tetapi kata sandi dan rincian pembayaran tampaknya tidak terdampak.

Namun, dalam beberapa hari berikutnya, terungkap(jendela baru) bahwa peretas memang mengumpulkan data tentang jutaan pelanggan. Peretas menghubungi BBC(jendela baru) dengan contoh data yang dicuri: nama, alamat, nomor telepon, email, nomor pelanggan, dan tanggal lahir.

Apa yang harus dilakukan pelanggan ASOS?

Karena peretas memperoleh informasi pribadi, mereka kini dapat melancarkan serangan phishing yang jauh lebih efektif terhadap pelanggan ASOS.

Jika Anda pelanggan Asos:

  • Buat kata sandi kuat baru untuk akun ASOS Anda.
  • Jika Anda dihubungi oleh seseorang yang mengaku dari ASOS dan mengatakan memerlukan informasi tambahan atau bahwa akun Anda kini terkunci, jangan berinteraksi dengan mereka. Beri tahu ASOS tentang panggilan, email, atau SMS tersebut melalui kanal layanan pelanggan resmi(jendela baru) mereka.
  • Jika Anda menerima email tidak biasa dari peritel lain atau dari orang yang tidak Anda kenal yang meminta informasi tambahan atau menyuruh Anda mengeklik tautan, jangan mengeklik atau berinteraksi dengan mereka. Selalu buka situs web atau aplikasi perusahaan secara langsung untuk masuk, bukan melalui tautan tak terduga yang Anda terima.

Apa dampaknya?

Reputasi merek ASOS juga terdampak secara signifikan. Bukan hanya data pelanggan yang dicuri, tetapi serangan itu juga diumumkan langsung kepada pelanggan secara real time: ASOS tidak punya waktu untuk menahan serangan sebelum memberi tahu pelanggan dan regulator tentang pembobolan tersebut.

Saham ASOS turun hingga 11%(jendela baru) setelah serangan tersebut saat pelanggan yang khawatir membicarakannya di media sosial. Notifikasi langsung itu menimbulkan kecemasan dan urgensi yang jauh lebih besar daripada serangan pemerasan standar yang ditujukan langsung ke bisnis. Dengan menyasar pengguna, peretas menimbulkan lebih banyak kekacauan karena tidak jelas seberapa luas ancaman tersebut.

Bisnis perlu menyadari bahwa platform yang digunakan untuk berkomunikasi dengan pelanggan kemungkinan akan semakin sering disasar peretas di masa mendatang. Jika peretas dapat menyasar pelanggan Anda secara langsung, Anda langsung kehilangan kendali atas respons, dan kepercayaan pelanggan terhadap merek Anda hancur.

Bagaimana bisnis dapat menghindari jenis serangan ini?

Peretas mendapatkan akses ke akun Snowflake dengan menyamar sebagai kontak ASOS yang tepercaya, contoh khas phishing. Kami telah banyak membahas cara melindungi bisnis Anda dari phishing, tetapi salah satu tindakan terpenting yang dapat dilakukan bisnis Anda adalah mengaktifkan autentikasi dua faktor (2FA) untuk semua akun yang memiliki akses ke data pelanggan yang sensitif.

Aktifkan 2FA

Dengan mengaktifkan 2FA, Anda menciptakan lapisan perlindungan ekstra untuk akun yang jauh lebih sulit dibobol peretas. Menggabungkan 2FA dengan kata sandi yang kuat dan unik untuk setiap akun adalah solusi yang efektif dan sederhana untuk melindungi bisnis Anda dari serangan phishing.

Pusatkan pengelolaan kata sandi

Menggunakan pengelola kata sandi bisnis dengan autentikator 2FA bawaan, alias email, dan berbagi aman dapat membantu bisnis Anda melindungi diri dari jenis serangan yang dilancarkan ke ASOS. Mengamankan proses masuk di pengelola kata sandi terenkripsi secara end-to-end yang dapat membuat, menyimpan, dan mengisi otomatis kata sandi dengan aman membantu anggota tim Anda bekerja dengan aman dan melindungi data sensitif yang perlu mereka akses.

Perkuat kanal komunikasi

Audit keamanan sering kali dimulai dari sistem kritis seperti sistem pembayaran, basis data inti, atau manajer hubungan pelanggan. Namun, peretasan ASOS menunjukkan bahwa kanal komunikasi adalah vektor berbahaya yang perlu dikunci. Akun media sosial, platform notifikasi dalam aplikasi, platform email seperti Mailchimp, dan platform SMS harus dibatasi hanya untuk jumlah karyawan minimum dengan penerapan 2FA yang ketat.

Bahkan jika alamat email atau kata sandi berhasil di-phishing, peretas tidak dapat mengakses akun yang dilindungi 2FA. Jika setiap akun memiliki kata sandi unik dan menggunakan alias email, peretas tidak dapat mencoba ulang kata sandi di berbagai layanan atau menyusun profil aktivitas untuk alamat email tersebut.

Seiring peretas terus mengembangkan strategi serangan mereka, jangan beri mereka kesempatan untuk merusak reputasi Anda dan menyasar pelanggan Anda. Gunakan pengelola kata sandi bisnis yang menjaga Anda dan pelanggan Anda tetap aman.