Martedì 6 ottobre, i clienti di ASOS, il rivenditore britannico di moda, hanno ricevuto una notifica push dall’app ufficiale con il titolo “ASOS HACKED”.

Si leggeva: “Al DPO di ASOS e al reparto IT: abbiamo compromesso completamente l’istanza Snowflake. Contattaci, altrimenti pubblicheremo i dati.”

Con questo messaggio, gli hacker hanno scatenato una nuova arma nell’arsenale dei cyberattacchi: violare gli account aziendali e portare le loro richieste di estorsione direttamente ai clienti. Se questi attacchi in stile ASOS diventano comuni, le implicazioni riguardano qualsiasi azienda che invia regolarmente messaggi ai clienti. I messaggi di massa ai consumatori tramite email o messaggi in-app sono un modo facile per amplificare gli attacchi di phishing da mittenti attendibili, in modo simile alla truffa bitcoin inviata tramite account Twitter violati(nuova finestra) nel 2020. Possono anche aumentare la pressione sulle aziende affinché paghino i riscatti o provocare un caos generale che incide sui risultati economici delle aziende.

Per fortuna, a livello di fondo, le strategie di prevenzione di aziende e consumatori non cambiano molto. Ecco cosa sappiamo.

Cos’è successo ad ASOS?

Snowflake è un servizio di archiviazione e analisi dei dati che ASOS usava come infrastruttura cloud. Gli hacker hanno usato un attacco di ingegneria sociale per accedere all’account di un dipendente su una piattaforma chiamata Simon AI, integrata nativamente in Snowflake. Stando a resoconti(nuova finestra) giornalistici, gli hacker hanno ingannato il dipendente “spacciandosi per un contatto attendibile per ottenere le credenziali di accesso”.

(In questo caso Snowflake non è stato compromesso, ma in passato ha già subito violazioni(nuova finestra).)

Da lì, hanno lanciato un attacco ransomware poco ortodosso, usando il sistema di notifiche dell’app ASOS per inviare una richiesta di estorsione agli utenti ASOS. Poiché la notifica era indirizzata al DPO (responsabile della protezione dei dati) e al reparto IT dell’azienda, sembra che gli hacker abbiano reso pubblica la minaccia per fare pressione su ASOS affinché effettuasse un pagamento.

In un annuncio di mercato(nuova finestra) lo stesso giorno, ASOS ha dichiarato di stare indagando su attività non autorizzate che coinvolgono le piattaforme usate per comunicare con i clienti. Ha inoltre informato i clienti che potrebbe essere stato effettuato un accesso ai loro dati personali, inclusi nomi e dettagli di contatto, mentre password e dati di pagamento non sembrano essere stati interessati.

Tuttavia, nei giorni successivi, è emerso(nuova finestra) che gli hacker avevano effettivamente raccolto dati su potenzialmente milioni di clienti. Gli hacker hanno contattato la BBC(nuova finestra) con un esempio dei dati rubati: nomi, indirizzi, numeri di telefono, email, numeri di cliente e date di nascita.

Cosa devono fare i clienti di ASOS?

Poiché gli hacker hanno ottenuto informazioni personali, ora possono lanciare attacchi di phishing molto più efficaci contro i clienti di ASOS.

Se sei un cliente di ASOS:

  • Crea una nuova password sicura per il tuo account ASOS.
  • Se qualcuno ti contatta dicendo di essere di ASOS e di aver bisogno di ulteriori informazioni, o affermando che il tuo account è ora bloccato, non interagire con questa persona. Segnala la chiamata, l’email o l’SMS ad ASOS tramite il suo canale ufficiale di assistenza clienti(nuova finestra).
  • Se ricevi email insolite da altri rivenditori o da qualcuno che non conosci che ti chiede maggiori informazioni o ti dice di fare clic su un link, non fare clic e non interagire. Accedi sempre direttamente al sito web o all’app dell’azienda per effettuare il login, invece di passare dai link inattesi che ricevi.

Qual è l’impatto?

Anche la reputazione del marchio ASOS ha subito un impatto significativo. Non solo i dati dei clienti sono stati rubati, ma l’attacco è stato annunciato direttamente ai clienti in tempo reale: ASOS non ha avuto il tempo di contenere l’attacco prima di informare clienti e autorità di una violazione.

Le azioni di ASOS sono scese fino all’11%(nuova finestra) dopo l’attacco, mentre i clienti preoccupati ne parlavano sui social media. La notifica diretta ha creato molta più ansia e urgenza rispetto a un normale attacco di estorsione rivolto direttamente a un’azienda. Colpendo gli utenti, gli hacker hanno causato più caos perché non era chiaro quanto fosse estesa la minaccia.

Le aziende devono essere consapevoli che le piattaforme usate per comunicare con i clienti saranno probabilmente prese di mira dagli hacker sempre di più in futuro. Se gli hacker riescono a rivolgersi direttamente ai tuoi clienti, perdi immediatamente il controllo della tua risposta e la fiducia dei clienti nel tuo marchio va in frantumi.

Come possono le aziende evitare questo tipo di attacco?

Gli hacker hanno avuto accesso all’account Snowflake spacciandosi per un contatto attendibile di ASOS, un tipico esempio di phishing. Abbiamo scritto molto su come proteggere la tua azienda dal phishing, ma una delle azioni più importanti che la tua azienda può intraprendere è attivare l’autenticazione a due fattori (2FA) per tutti gli account che hanno accesso a dati sensibili dei clienti.

Attiva la 2FA

Attivando la 2FA, crei un ulteriore livello di protezione per gli account, molto più difficile da violare per gli hacker. Combinare la 2FA con una password sicura e unica per ogni account è una soluzione efficace e semplice per proteggere la tua azienda dagli attacchi di phishing.

Centralizza la gestione delle password

Adottare un gestore di password per aziende con autenticatore 2FA integrato, alias email e condivisione sicura può aiutare la tua azienda a difendersi dal tipo di attacco sferrato ad ASOS. Proteggere i login in un gestore di password crittografato end-to-end, in grado di generare, archiviare e compilare automaticamente le password in modo sicuro, aiuta i membri del tuo team a lavorare in sicurezza e a proteggere i dati sensibili a cui devono accedere.

Rafforza i canali di comunicazione

Spesso le verifiche di sicurezza iniziano dai sistemi critici, come i sistemi di pagamento, i database principali o i gestori delle relazioni con i clienti. Ma l’hack di ASOS dimostra che i canali di comunicazione sono vettori pericolosi che devono essere messi in sicurezza. Gli account sui social media, le piattaforme di notifica in-app, le piattaforme email come Mailchimp e le piattaforme SMS devono essere accessibili al minor numero possibile di dipendenti, con la 2FA applicata rigorosamente.

Anche se un indirizzo email o una password vengono rubati tramite phishing, gli hacker non possono accedere a un account protetto dalla 2FA. Se ogni account ha una password unica e usa un alias email, gli hacker non possono riprovare le password su più servizi né creare un profilo di attività per l’indirizzo email.

Mentre gli hacker continuano a evolvere le loro strategie di attacco, non dare loro l’opportunità di danneggiare la tua reputazione e colpire i tuoi clienti. Adotta un gestore di password per aziende che protegge te e i tuoi clienti.