10月6日火曜日、英国のファッション小売業者ASOSの顧客は、公式アプリから「ASOS HACKED」というタイトルのプッシュ通知を受け取りました。

通知にはこう書かれていました：「ASOSのデータ保護責任者およびIT部門へ。当社はSnowflakeインスタンスを完全に侵害しました。我々と交渉するか、さもなければデータを漏洩させます。」

このメッセージにより、ハッカーはサイバー攻撃の武器庫に新たな武器を解き放ちました。それは、企業アカウントを侵害し、恐喝要求を顧客に直接突きつけることです。このようなASOS式の攻撃が一般的になれば、顧客に定期的にメッセージを送信するあらゆる企業に影響が及びます。メールやアプリ内メッセージを通じて消費者に一斉送信されるメッセージは、信頼できる差出人からのフィッシング攻撃を増幅させる簡単な手段であり、2020年にハッキングされたTwitterアカウント(新しいウィンドウ)を通じて送信されたビットコイン詐欺と似ています。また、企業に身代金を支払うよう圧力をかけたり、企業の収益に影響する全般的な混乱を引き起こしたりする可能性もあります。

幸いなことに、根本的なレベルでは、企業または消費者としての防止策はそれほど変わりません。以下が現時点でわかっていることです。

ASOSに何が起きたのか？

Snowflakeは、ASOSがクラウドインフラストラクチャとして使用していたデータストレージおよび分析サービスです。ハッカーはソーシャルエンジニアリング攻撃を利用して、Snowflakeにネイティブ統合されたSimon AIというプラットフォーム上で従業員のアカウントへのアクセスを獲得しました。ニュースの報道(新しいウィンドウ)によると、ハッカーは「信頼できる連絡先になりすましてログイン認証情報を入手する」ことで従業員をだましたといいます。

なお、今回の件でSnowflake自体が侵害されたわけではありませんが、過去に侵害されたことがあります(新しいウィンドウ)。

そこから、彼らは型破りなランサムウェア攻撃を仕掛け、ASOSアプリの通知システムを使って、ASOSユーザーに身代金要求を送信しました。この通知は同社のデータ保護責任者（DPO）とIT部門宛てだったため、ハッカーはASOSに支払いを迫る圧力をかけるために脅威を公にしたと考えられます。

同日の市場向け発表(新しいウィンドウ)で、ASOSは顧客との連絡に使用されるプラットフォームに関する不正な活動を調査中だと述べました。また、氏名や連絡先の詳細を含む個人情報がアクセスされた可能性がある一方、パスワードや支払いの詳細は影響を受けていないようだと顧客に通知しました。

しかし、その後数日で、ハッカーが実際に数百万に上る可能性のある顧客に関するデータを収集していたことが明らかになりました(新しいウィンドウ)。ハッカーは、盗まれたデータの例として、氏名、住所、電話番号、メールアドレス、顧客番号、生年月日を示してBBCに連絡しました(新しいウィンドウ)。

ASOSの顧客は何をすべきか？

ハッカーが個人情報を入手したため、ASOSの顧客に対して、より効果的なフィッシング攻撃を仕掛けることができます。

ASOSの顧客である場合：

  • ASOSアカウント用に新しい強力なパスワードを作成してください。
  • ASOSの関係者を名乗る人物から連絡があり、追加情報が必要だとか、アカウントがロックされたなどと言われた場合は、相手に応答しないでください。その電話、メール、SMSについては、ASOSの公式カスタマーケアチャンネル(新しいウィンドウ)を通じてASOSに知らせてください。
  • 他の小売業者や知らない人から、追加情報を求める、またはリンクをクリックするよう促す不審なメールが届いた場合は、クリックしたり応答したりしないでください。受け取った予期しないリンクからではなく、常に企業のウェブサイトまたはアプリに直接アクセスしてログインしてください。

どのような影響があるのか？

ASOSのブランド評判も大きく損なわれました。顧客データが盗まれただけでなく、攻撃がリアルタイムで顧客に直接知らされました。ASOSには、侵害を顧客や規制当局に通知する前に、攻撃を封じ込める時間がありませんでした。

攻撃後、懸念を抱いた顧客がソーシャルメディアに投稿したこともあり、ASOSの株価は最大11%(新しいウィンドウ)下落しました。直接通知は、企業に直接行われる標準的な恐喝攻撃よりも、はるかに大きな不安と緊急性を生み出しました。ユーザーを標的にしたことで、脅威がどの程度広範なのか明確でなかったため、ハッカーはより大きな混乱を引き起こしました。

企業は、顧客とのコミュニケーションに使用するプラットフォームが、今後より多くハッカーの標的になる可能性があることを認識する必要があります。ハッカーが顧客に直接接触できる場合、対応の主導権を即座に失い、ブランドに対する顧客の信頼は崩壊します。

企業はこの種の攻撃をどう回避できるのか？

ハッカーは、信頼できるASOSの連絡先になりすましてSnowflakeアカウントへのアクセスを獲得しました。これはフィッシングの典型的な例です。企業をフィッシングから守る方法については詳しく書いてきましたが、企業が取れる最も重要な対策の1つは、機密性の高い顧客データにアクセスできるすべてのアカウントで2要素認証（2FA）を有効にすることです。

2要素認証を有効にする

2要素認証を有効にすると、ハッカーが侵害するのがはるかに難しい追加の保護層をアカウントに設けられます。2要素認証と、アカウントごとに固有の強力なパスワードを組み合わせることは、企業をフィッシング攻撃から守るための効果的で簡単な解決策です。

パスワード管理を一元化する

2要素認証機能を内蔵し、メールエイリアスや安全な共有を備えたビジネス向けパスワードマネージャーを導入することは、ASOSに仕掛けられたような攻撃から企業を守るのに役立ちます。パスワードを安全に生成、保存、自動入力できるエンドツーエンド暗号化パスワードマネージャーでログインを保護すれば、チームメンバーは安全に作業でき、アクセスする必要がある機密データを保護できます。

通信チャンネルを堅牢化する

多くの場合、セキュリティ監査は決済システム、基幹データベース、顧客関係管理システムなど、重要なシステムから始まります。しかし、ASOSのハッキングは、通信チャンネルが封鎖する必要がある危険な侵入経路であることを示しています。ソーシャルメディアアカウント、アプリ内通知プラットフォーム、Mailchimpのようなメールプラットフォーム、SMSプラットフォームは、2要素認証を厳格に適用した上で、最小限の従業員に制限すべきです。

メールアドレスやパスワードがフィッシングされたとしても、ハッカーは2要素認証で保護されたアカウントにアクセスできません。各アカウントが固有のパスワードを使用し、メールエイリアスを使っていれば、ハッカーは複数のサービスでパスワードを再試行したり、そのメールアドレスの活動プロファイルを作成したりすることはできません。

ハッカーが攻撃戦略を進化させ続ける中、評判を傷つけ、顧客を標的にする機会を与えないでください。あなたと顧客の安全を守るビジネス向けパスワードマネージャーを導入しましょう。