We wtorek 6 października klienci ASOS, brytyjskiego detalisty odzieżowego, otrzymali powiadomienie push z oficjalnej aplikacji zatytułowane „ASOS HACKED”.

Treść brzmiała: „Szanowni Państwo z działu DPO i IT firmy Asos, w pełni przejęliśmy instancję Snowflake. Nawiążcie z nami kontakt albo doprowadzimy do jej wycieku”.

Tą wiadomością hakerzy wypuścili nową broń w arsenale cyberataków: przełamywanie kont firmowych i kierowanie żądań okupu bezpośrednio do klientów. Jeśli ataki w stylu ASOS staną się powszechne, będzie to miało konsekwencje dla każdej firmy, która regularnie wysyła wiadomości do klientów. Masowe wiadomości do konsumentów za pośrednictwem wiadomości e-mail lub komunikatów w aplikacji to łatwy sposób na wzmocnienie prób wyłudzenia informacji od zaufanych nadawców, podobnie jak oszustwo z bitcoinem rozsyłane przez zhakowane konta na Twitterze(nowe okno) w 2020 roku. Może to również zwiększyć presję na firmy, by płaciły okupy, lub wywołać ogólny chaos wpływający na wyniki finansowe firm.

Na szczęście na najbardziej podstawowym poziomie strategie zapobiegania niewiele się zmieniają, niezależnie od tego, czy jesteś firmą, czy konsumentem. Oto co wiemy.

Co się stało z ASOS?

Snowflake to usługa przechowywania i analizy danych, której ASOS używał jako infrastruktury chmurowej. Hakerzy wykorzystali atak socjotechniczny, aby uzyskać dostęp do konta pracownika na platformie o nazwie Simon AI, która jest natywnie zintegrowana ze Snowflake. Doniesienia(nowe okno) medialne wskazują, że hakerzy oszukali pracownika, „podszywając się pod zaufany kontakt, aby uzyskać dane logowania”.

(Sam Snowflake nie został w tym przypadku zagrożony, ale już wcześniej doszło do jego naruszenia(nowe okno).)

Następnie przeprowadzili niekonwencjonalny atak ransomware, wykorzystując system powiadomień aplikacji ASOS do wysłania żądania okupu użytkownikom ASOS. Ponieważ powiadomienie było zaadresowane do DPO (inspektora ochrony danych) i działu IT firmy, wygląda na to, że hakerzy upublicznili groźbę, aby wywrzeć presję na ASOS i skłonić go do zapłaty.

W tym samym dniu w komunikacie giełdowym(nowe okno) ASOS poinformował, że bada nieautoryzowaną aktywność dotyczącą platform wykorzystywanych do komunikacji z klientami. Firma powiadomiła też klientów, że ich dane osobowe, w tym imiona i nazwiska oraz dane kontaktowe, mogły zostać objęte nieuprawnionym dostępem, ale wygląda na to, że hasła i dane płatnicze nie zostały naruszone.

W kolejnych dniach okazało się(nowe okno) jednak, że hakerzy rzeczywiście zebrali dane o potencjalnie milionach klientów. Hakerzy skontaktowali się z BBC(nowe okno), podając przykład skradzionych danych: imiona i nazwiska, adresy, numery telefonów, adresy e-mail, numery klientów i daty urodzenia.

Co powinni zrobić klienci ASOS?

Ponieważ hakerzy zdobyli dane osobowe, mogą teraz przeprowadzać znacznie skuteczniejsze ataki polegające na próbie wyłudzenia informacji na klientów ASOS.

Jeśli jesteś klientem Asos:

  • Utwórz nowe silne hasło do konta ASOS.
  • Jeśli skontaktuje się z tobą ktoś podający się za ASOS i twierdzi, że potrzebuje dodatkowych informacji lub że twoje konto zostało zablokowane, nie wchodź z nim w interakcję. Poinformuj ASOS o telefonie, wiadomości e-mail lub SMS-ie, korzystając z oficjalnego kanału obsługi klienta(nowe okno).
  • Jeśli otrzymasz nietypowe wiadomości e-mail od innych sprzedawców lub od kogoś, kogo nie znasz, kto prosi cię o dodatkowe informacje lub namawia do kliknięcia linku, nie klikaj ani nie wchodź w interakcję. Zawsze przechodź bezpośrednio na stronę internetową lub do aplikacji firmy, aby się zalogować, zamiast korzystać z nieoczekiwanych linków, które otrzymasz.

Jakie są skutki?

Znacząco ucierpiała także reputacja marki ASOS. Nie tylko skradziono dane klientów, ale atak został ogłoszony bezpośrednio klientom w czasie rzeczywistym: ASOS nie zdążył opanować ataku, zanim powiadomił klientów i regulatorów o naruszeniu.

Po ataku kurs akcji ASOS spadł nawet o 11%(nowe okno), gdy zaniepokojeni klienci zaczęli publikować o nim posty w mediach społecznościowych. Bezpośrednie powiadomienie wywołało znacznie więcej niepokoju i poczucia pilności niż typowy atak wymuszający skierowany bezpośrednio do firmy. Atakując użytkowników, hakerzy wywołali większy chaos, ponieważ nie było jasne, jak rozległe jest zagrożenie.

Firmy muszą mieć świadomość, że platformy, których używają do komunikacji z klientami, będą w przyszłości coraz częściej celem hakerów. Jeśli hakerzy mogą zwrócić się bezpośrednio do twoich klientów, natychmiast tracisz kontrolę nad reakcją, a zaufanie klientów do twojej marki zostaje zachwiane.

Jak firmy mogą uniknąć tego typu ataku?

Hakerzy uzyskali dostęp do konta Snowflake, podszywając się pod zaufany kontakt ASOS, co jest typowym przykładem próby wyłudzenia informacji. Pisaliśmy już obszernie o tym, jak chronić firmę przed próbami wyłudzenia informacji, ale jednym z najważniejszych działań, jakie może podjąć twoja firma, jest włączenie uwierzytelniania dwustopniowego (2FA) dla wszystkich kont mających dostęp do wrażliwych danych klientów.

Włącz uwierzytelnianie dwustopniowe

Włączając uwierzytelnianie dwustopniowe, tworzysz dodatkową warstwę ochrony kont, którą hakerom znacznie trudniej przełamać. Połączenie uwierzytelniania dwustopniowego z silnym, unikalnym hasłem do każdego konta to skuteczne i proste rozwiązanie chroniące firmę przed próbami wyłudzenia informacji.

Scentralizuj zarządzanie hasłami

Wdrożenie firmowego menadżera haseł z wbudowanym modułem uwierzytelniania dwustopniowego, aliasami e-mail i bezpiecznym udostępnianiem może pomóc firmie zabezpieczyć się przed atakiem takim jak ten wymierzony w ASOS. Zabezpieczenie logowania w menadżerze haseł z szyfrowaniem end-to-end, który bezpiecznie generuje, przechowuje i autouzupełnia hasła, pomaga członkom zespołu pracować bezpiecznie i chronić wrażliwe dane, do których potrzebują dostępu.

Zabezpiecz kanały komunikacji

Audyty bezpieczeństwa często zaczynają się od systemów krytycznych, takich jak systemy płatności, kluczowe bazy danych czy menadżery relacji z klientami. Ale włamanie do ASOS pokazuje, że kanały komunikacji to niebezpieczne wektory, które trzeba zabezpieczyć. Konta w mediach społecznościowych, platformy powiadomień w aplikacji, platformy e-mail, takie jak Mailchimp, oraz platformy SMS należy ograniczyć do minimalnej liczby pracowników, przy rygorystycznym egzekwowaniu uwierzytelniania dwustopniowego.

Nawet jeśli adres e-mail lub hasło zostaną wyłudzone, hakerzy nie uzyskają dostępu do konta chronionego uwierzytelnianiem dwustopniowym. Jeśli każde konto ma unikalne hasło i korzysta z aliasu e-mail, hakerzy nie mogą ponownie próbować haseł w wielu usługach ani tworzyć profilu aktywności dla adresu e-mail.

Hakerzy stale rozwijają swoje strategie ataku, więc nie daj im okazji do zszargania reputacji i zaatakowania twoich klientów. Wdróż firmowy menadżer haseł, który zapewni bezpieczeństwo tobie i twoim klientom.