Tirsdag 6. oktober fikk kundene til ASOS, den britiske moteforhandleren, et push-varsel fra den offisielle appen med tittelen «ASOS HACKED».

Det sto: «Kjære Asos DPO og IT, vi har fullt ut kompromittert Snowflake-forekomsten. Samarbeid med oss, ellers lekker vi det.»

Med denne meldingen slapp hackerne løs et nytt våpen i cyberangrepsarsenalet: å trenge inn i bedriftskontoer og rette utpressingskravene sine direkte til kundene. Hvis slike ASOS-lignende angrep blir vanlige, får det konsekvenser for alle virksomheter som jevnlig sender meldinger til kundene. Massemeldinger til forbrukere via e-post eller meldinger i appen er en enkel måte å forsterke nettfiskingangrep fra klarerte avsendere, på samme måte som bitcoin-svindelen som ble sendt via hackede Twitter-kontoer(nytt vindu) i 2020. Det kan også legge press på selskaper for å betale løsepenger eller skape generelt kaos som påvirker bunnlinjen.

Heldigvis endrer ikke forebyggingsstrategiene dine seg stort på et grunnleggende nivå, enten du er virksomhet eller forbruker. Her er det vi vet.

Hva skjedde med ASOS?

Snowflake er en tjeneste for datalagring og analyse som ASOS brukte som skyinfrastruktur. Hackene brukte et angrep med sosial manipulering for å få tilgang til en ansatts konto på en plattform som heter Simon AI, som er integrert direkte i Snowflake. Ifølge medierapporter(nytt vindu) lurte hackerne den ansatte ved å «utgi seg for å være en klarert kontakt for å skaffe påloggingsinformasjon».

(Snowflake selv ble ikke kompromittert i dette tilfellet, men selskapet har vært utsatt for brudd tidligere(nytt vindu).)

Derfra satte de i gang et uortodoks løsepengevirusangrep, der de brukte varslingssystemet i ASOS-appen til å sende et utpressingskrav til ASOS-brukere. Siden varselet var adressert til personvernombudet (DPO) og IT-avdelingen i selskapet, ser det ut til at hackerne offentliggjorde trusselen for å legge press på ASOS for å få en betaling.

I en børsmelding(nytt vindu) samme dag opplyste ASOS at selskapet undersøkte uautorisert aktivitet knyttet til plattformer som brukes til å kommunisere med kunder. Selskapet varslet også kundene om at personopplysningene deres, inkludert navn og kontaktdetaljer, kan ha blitt tilgjengeliggjort, men at passord og betalingsopplysninger ikke så ut til å være berørt.

I dagene som fulgte kom det imidlertid fram(nytt vindu) at hackerne faktisk samlet inn data om potensielt millioner av kunder. Hackerne tok kontakt med BBC(nytt vindu) med et eksempel på de stjålne dataene: navn, adresser, telefonnummer, e-postadresser, kundenummer og fødselsdatoer.

Hva bør ASOS-kundene gjøre?

Fordi hackerne fikk tak i personopplysninger, kan de nå sette i gang langt mer effektive nettfiskingangrep mot ASOS-kunder.

Hvis du er kunde hos Asos:

  • Opprett et nytt sterkt passord for ASOS-kontoen din.
  • Hvis noen kontakter deg og utgir seg for å være fra ASOS og sier at de trenger mer informasjon, eller at kontoen din nå er låst, skal du ikke gå i dialog med dem. Varsle ASOS om samtalen, e-posten eller SMS-en via deres offisielle kundeservicekanal(nytt vindu).
  • Hvis du mottar uvanlige e-poster fra andre forhandlere eller fra noen du ikke kjenner, som ber deg om mer informasjon eller ber deg klikke på en lenke, skal du ikke klikke eller gå i dialog med dem. Gå alltid direkte til selskapets nettsted eller app for å logge på, i stedet for via uventede lenker du mottar.

Hva er konsekvensene?

Omdømmet til ASOS har også blitt betydelig skadet. Ikke bare ble kundedata stjålet, men angrepet ble kunngjort direkte til kundene i sanntid: ASOS fikk ikke tid til å begrense angrepet før selskapet varslet kunder og myndigheter om et brudd.

ASOS-aksjen falt med hele 11 %(nytt vindu) etter angrepet, mens bekymrede kunder skrev om det i sosiale medier. Det direkte varselet skapte langt mer engstelse og hastverk enn et vanlig utpressingsangrep rettet direkte mot en virksomhet. Ved å gå etter brukerne skapte hackerne mer kaos, fordi det ikke var klart hvor omfattende trusselen var.

Virksomheter må være klar over at plattformene de bruker for å kommunisere med kunder, i økende grad vil bli mål for hackere i framtiden. Hvis hackerne kan gå direkte til kundene dine, mister du umiddelbart kontrollen over håndteringen, og kundenes tillit til merkevaren din knuses.

Hvordan kan virksomheter unngå denne typen angrep?

Hackerne fikk tilgang til Snowflake-kontoen ved å utgi seg for å være en klarert ASOS-kontakt, et typisk eksempel på nettfisking. Vi har skrevet mye om hvordan du kan beskytte virksomheten din mot nettfisking, men ett av de viktigste tiltakene virksomheten din kan gjøre, er å aktivere tofaktorautentisering (2FA) for alle kontoer med tilgang til sensitive kundedata.

Aktiver 2FA

Ved å aktivere 2FA legger du til et ekstra beskyttelseslag for kontoene, som er mye vanskeligere for hackere å bryte. Å kombinere 2FA med et sterkt og unikt passord for hver konto er en effektiv og enkel løsning for å beskytte virksomheten din mot nettfiskingangrep.

Sentraliser passordhåndteringen

Å ta i bruk en passordapp for bedrifter med innebygd 2FA-autentisering, e-postaliaser og sikker deling kan hjelpe virksomheten din med å verne seg mot den typen angrep som ble rettet mot ASOS. Når pålogginger sikres i en ende-til-ende-kryptert passordapp som trygt kan generere, lagre og autofylle passord, hjelper det teammedlemmene dine med å jobbe trygt og beskytte de sensitive dataene de trenger tilgang til.

Sikre kommunikasjonskanalene

Sikkerhetsrevisjoner starter ofte med kritiske systemer som betalingssystemer, kjernedatabaser eller CRM-systemer. Men ASOS-hacket viser at kommunikasjonskanaler er farlige vektorer som må sikres. Kontoer i sosiale medier, varslingsplattformer i apper, e-postplattformer som Mailchimp og SMS-plattformer bør begrenses til et minimum av ansatte, med strengt påkrevd 2FA.

Selv om en e-postadresse eller et passord blir fisket ut, kan ikke hackerne få tilgang til en konto som er beskyttet av 2FA. Hvis hver konto har et unikt passord og bruker et e-postalias, kan ikke hackerne prøve passordet på nytt mot flere tjenester eller bygge en aktivitetsprofil for e-postadressen.

Ettersom hackerne fortsetter å utvikle angrepsstrategiene sine, bør du ikke gi dem mulighet til å skade omdømmet ditt og gå etter kundene dine. Ta i bruk en passordapp for bedrifter som holder deg og kundene dine trygge.