Op dinsdag 6 oktober ontvingen klanten van ASOS, de Britse modeverkoper, een pushmelding van de officiële app met de titel “ASOS HACKED”.

Er stond: “Beste Asos DPO en IT, we hebben de Snowflake-instantie volledig in gevaar gebracht. Ga met ons in gesprek, anders lekken we het.”

Met dit bericht ontketenden de hackers een nieuw wapen in het cyberaanvalsarsenaal: het binnendringen van bedrijfsaccounts en het rechtstreeks bij klanten neerleggen van hun afpersingseisen. Als dit soort ASOS-aanvallen gemeengoed worden, heeft dat gevolgen voor elk bedrijf dat regelmatig berichten naar klanten stuurt. Massaberichten aan consumenten via e-mails of in-app-berichten zijn een eenvoudige manier om phishingaanvallen van vertrouwde afzenders te versterken, vergelijkbaar met de bitcoinscam die in 2020 via gekaapte Twitter-accounts(nieuw venster) werd verzonden. Het kan ook de druk op bedrijven opvoeren om losgeld te betalen of algemene chaos veroorzaken die de bedrijfsresultaten aantast.

Gelukkig verandert er op fundamenteel niveau weinig aan uw preventiestrategieën als bedrijf of consument. Dit is wat we weten.

Wat is er met ASOS gebeurd?

Snowflake is een dienst voor gegevensopslag en -analyse die ASOS als cloudinfrastructuur gebruikte. De hackers gebruikten een aanval via social engineering om toegang te krijgen tot het account van een medewerker op een platform genaamd Simon AI, dat native in Snowflake is geïntegreerd. Volgens nieuwsberichten(nieuw venster) misleidden de hackers de medewerker door zich voor te doen als een vertrouwd contact om inloggegevens te verkrijgen.

(Snowflake zelf werd in dit geval niet in gevaar gebracht, maar is al eerder geschonden.)

Van daaruit lanceerden ze een onorthodoxe ransomwareaanval, waarbij ze het meldingssysteem van de ASOS-app gebruikten om een afpersingseis naar ASOS-gebruikers te sturen. Aangezien de melding gericht was aan de DPO (functionaris voor gegevensbescherming) en de IT-afdeling van het bedrijf, lijkt het erop dat de hackers de dreiging openbaar maakten om druk op ASOS te zetten om te betalen.

In een marktaankondiging(nieuw venster) diezelfde dag zei ASOS dat het onderzoek deed naar ongeoorloofde activiteit met betrekking tot platforms die worden gebruikt om met klanten te communiceren. Het bedrijf liet klanten ook weten dat hun persoonlijke gegevens, waaronder namen en contactgegevens, mogelijk zijn ingezien, maar dat wachtwoorden en betaalgegevens niet lijken te zijn getroffen.

De daaropvolgende dagen bleek(nieuw venster) echter dat de hackers inderdaad gegevens hadden verzameld over mogelijk miljoenen klanten. De hackers namen contact op met de BBC(nieuw venster) met een voorbeeld van de gestolen gegevens: namen, adressen, telefoonnummers, e-mails, klantnummers en geboortedata.

Wat moeten ASOS-klanten doen?

Omdat de hackers persoonlijke gegevens hebben verkregen, kunnen ze nu veel effectievere phishingaanvallen op ASOS-klanten uitvoeren.

Als u klant bent van Asos:

  • Maak een nieuw sterk wachtwoord aan voor uw ASOS-account.
  • Als iemand die zegt van ASOS te zijn contact met u opneemt en aangeeft meer informatie nodig te hebben of dat uw account nu is vergrendeld, ga dan niet met hen in gesprek. Informeer ASOS over het telefoontje, de e-mail of de sms via hun officiële klantenservicekanaal(nieuw venster).
  • Als u ongebruikelijke e-mails ontvangt van andere winkels of van iemand die u niet kent, waarin u om meer informatie wordt gevraagd of u wordt aangespoord op een koppeling te klikken, klik er dan niet op en ga niet met hen in gesprek. Ga altijd rechtstreeks naar de website of app van het bedrijf om aan te melden, in plaats van via onverwachte koppelingen die u ontvangt.

Wat is de impact?

Ook de reputatie van het merk ASOS heeft aanzienlijke schade opgelopen. Niet alleen zijn klantgegevens gestolen, maar de aanval werd ook in realtime rechtstreeks aan de klanten aangekondigd: ASOS had geen tijd om de aanval in te dammen voordat het klanten en toezichthouders op de hoogte stelde van een schending.

De aandelen van ASOS daalden met maar liefst 11%(nieuw venster) na de aanval, toen bezorgde klanten erover berichtten op sociale media. De rechtstreekse melding zorgde voor aanzienlijk meer angst en urgentie dan een standaard afpersingsaanval die rechtstreeks op een bedrijf is gericht. Door zich op gebruikers te richten, veroorzaakten de hackers meer chaos, omdat niet duidelijk was hoe groot de dreiging was.

Bedrijven moeten zich ervan bewust zijn dat de platforms die ze gebruiken om met klanten te communiceren in de toekomst waarschijnlijk vaker het doelwit van hackers zullen zijn. Als hackers zich rechtstreeks tot uw klanten kunnen wenden, verliest u onmiddellijk de controle over uw reactie en wordt het vertrouwen van klanten in uw merk aan het wankelen gebracht.

Hoe kunnen bedrijven dit soort aanvallen voorkomen?

De hackers kregen toegang tot het Snowflake-account door zich voor te doen als een vertrouwd ASOS-contact, een typisch voorbeeld van phishing. We hebben uitgebreid geschreven over hoe u uw bedrijf tegen phishing kunt beschermen, maar een van de belangrijkste maatregelen die uw bedrijf kan nemen, is tweestapsverificatie (2FA) inschakelen voor alle accounts met toegang tot gevoelige klantgegevens.

2FA inschakelen

Door 2FA in te schakelen, creëert u een extra beschermingslaag voor accounts die voor hackers veel moeilijker te doorbreken is. Door 2FA te combineren met een sterk, uniek wachtwoord voor elk account, hebt u een effectieve en eenvoudige oplossing om uw bedrijf tegen phishingaanvallen te beschermen.

Wachtwoordbeheer centraliseren

Met een zakelijke wachtwoordbeheerder met ingebouwde 2FA-authenticator, e-mailadres aliassen en veilig delen kan uw bedrijf zich beter beschermen tegen het soort aanval dat op ASOS werd uitgevoerd. Door inloggegevens te beveiligen in een end-to-end versleutelde wachtwoordbeheerder die wachtwoorden veilig kan genereren, opslaan en automatisch aanvullen, kunnen uw teamleden veilig werken en de gevoelige gegevens beschermen waartoe ze toegang nodig hebben.

Communicatiekanalen beveiligen

Beveiligingsaudits beginnen vaak bij kritieke systemen zoals betaalsystemen, kern-databases of systemen voor klantrelatiebeheer. Maar de hack bij ASOS toont aan dat communicatiekanalen gevaarlijke vectoren zijn die moeten worden afgeschermd. Accounts op sociale media, platforms voor in-app-meldingen, e-mailplatforms zoals Mailchimp en sms-platforms moeten worden beperkt tot een minimum aantal medewerkers, waarbij 2FA strikt wordt gehandhaafd.

Zelfs als een e-mailadres of wachtwoord via phishing wordt buitgemaakt, kunnen hackers geen toegang krijgen tot een account dat door 2FA wordt beschermd. Als elk account een uniek wachtwoord heeft en een e-mailadres alias gebruikt, kunnen hackers wachtwoorden niet opnieuw proberen bij meerdere diensten of een activiteitenprofiel voor het e-mailadres opbouwen.

Nu hackers hun aanvalsstrategieën blijven doorontwikkelen, mag u hen niet de kans geven uw reputatie te schaden en uw klanten te targeten. Kies voor een zakelijke wachtwoordbeheerder die u en uw klanten veilig houdt.