Na terça-feira, 6 de outubro, os clientes da ASOS, a varejista de moda britânica, receberam uma notificação push do aplicativo oficial com o título “ASOS HACKED”.

Dizia: “Prezados DPO e TI da Asos, comprometemos totalmente a instância do Snowflake. Entrem em contato conosco ou vazaremos tudo.”

Com essa mensagem, os hackers lançaram uma nova arma no arsenal de ciberataques: invadir contas de empresas e levar suas exigências de extorsão diretamente aos clientes. Se esses ataques no estilo ASOS se tornarem comuns, há implicações para qualquer empresa que envia mensagens aos clientes com regularidade. Mensagens em massa ao consumidor por e-mail ou dentro do aplicativo são uma forma fácil de amplificar ataques de phishing de remetentes de confiança, semelhante ao golpe do bitcoin enviado por contas do Twitter invadidas(nova janela) em 2020. Isso também pode aumentar a pressão sobre as empresas para pagar resgates ou provocar um caos generalizado que afeta os resultados financeiros das empresas.

Felizmente, em um nível fundamental, suas estratégias de prevenção como empresa ou consumidor não mudam muito. Veja o que sabemos.

O que aconteceu com a ASOS?

O Snowflake é um serviço de armazenamento e análise de dados que a ASOS usava como infraestrutura de nuvem. Os hackers usaram um ataque de engenharia social para obter acesso à conta de um funcionário em uma plataforma chamada Simon AI, integrada nativamente ao Snowflake. Segundo reportagens(nova janela), os hackers enganaram o funcionário “se passando por um contato de confiança para obter credenciais de início de sessão”.

(O próprio Snowflake não foi comprometido nesse caso, mas já sofreu violações antes(nova janela).)

A partir daí, lançaram um ataque de ransomware pouco ortodoxo, usando o sistema de notificação do aplicativo da ASOS para enviar uma exigência de extorsão aos usuários da ASOS. Como a notificação era endereçada ao DPO (encarregado de proteção de dados) e ao departamento de TI da empresa, parece que os hackers estavam tornando a ameaça pública para pressionar a ASOS a fazer um pagamento.

Em um comunicado ao mercado(nova janela) no mesmo dia, a ASOS afirmou que estava investigando atividades não autorizadas envolvendo plataformas usadas para se comunicar com os clientes. A empresa também notificou os clientes de que suas informações pessoais, incluindo nomes e detalhes de contato, podem ter sido acessadas, mas que as senhas e os dados de pagamento não pareciam ter sido afetados.

No entanto, nos dias seguintes, veio à tona(nova janela) que os hackers de fato coletaram dados de potencialmente milhões de clientes. Os hackers entraram em contato com a BBC(nova janela) com um exemplo dos dados roubados: nomes, endereços, números de telefone, e-mails, números de cliente e datas de nascimento.

O que os clientes da ASOS devem fazer?

Como os hackers obtiveram informações pessoais, agora podem lançar ataques de phishing muito mais eficazes contra os clientes da ASOS.

Se você é cliente da Asos:

  • Crie uma senha forte nova para sua conta na ASOS.
  • Se alguém entrar em contato com você dizendo ser da ASOS, pedindo mais informações ou afirmando que sua conta está bloqueada, não interaja. Avise a ASOS sobre a ligação, o e-mail ou o SMS pelo canal oficial de atendimento ao cliente(nova janela).
  • Se você receber e-mails incomuns de outras varejistas ou de alguém que você não conhece pedindo mais informações ou dizendo para clicar em um link, não clique nem interaja. Sempre acesse o site ou aplicativo da empresa diretamente para iniciar sessão, em vez de usar links inesperados que você receber.

Qual é o impacto?

A reputação da marca ASOS também foi significativamente afetada. Não apenas os dados dos clientes foram roubados, mas o ataque foi anunciado diretamente aos clientes em tempo real: a ASOS não teve tempo de conter o ataque antes de notificar clientes e reguladores sobre uma violação.

As ações da ASOS caíram até 11%(nova janela) após o ataque, à medida que clientes preocupados publicavam sobre o caso nas redes sociais. A notificação direta criou muito mais ansiedade e urgência do que um ataque de extorsão comum feito diretamente a uma empresa. Ao mirar nos usuários, os hackers causaram mais caos, pois não estava claro o quão extensa era a ameaça.

As empresas precisam estar cientes de que as plataformas que usam para se comunicar com os clientes provavelmente serão cada vez mais visadas por hackers no futuro. Se os hackers conseguem chegar diretamente aos seus clientes, você perde o controle da sua resposta instantaneamente e a confiança dos clientes na sua marca é destruída.

Como as empresas podem evitar esse tipo de ataque?

Os hackers obtiveram acesso à conta do Snowflake se passando por um contato de confiança da ASOS, um exemplo típico de phishing. Já escrevemos bastante sobre como proteger sua empresa contra phishing, mas uma das ações mais importantes que sua empresa pode tomar é ativar a autenticação de dois fatores (A2F) em todas as contas com acesso a dados sensíveis de clientes.

Ativar A2F

Ao ativar a A2F, você cria uma camada extra de proteção para as contas, muito mais difícil de os hackers violarem. Combinar a A2F com uma senha forte e única para cada conta é uma solução eficaz e simples para proteger sua empresa contra ataques de phishing.

Centralize o gerenciamento de senhas

Adotar um gerenciador de senhas para empresas com autenticador A2F integrado, aliases de e-mail e compartilhamento seguro pode ajudar sua empresa a se proteger contra o tipo de ataque lançado contra a ASOS. Proteger os inícios de sessão em um gerenciador de senhas criptografado de ponta a ponta, capaz de gerar, armazenar e preencher automaticamente senhas com segurança, ajuda os membros da sua equipe a trabalharem com segurança e a proteger os dados sensíveis aos quais precisam de acesso.

Reforce os canais de comunicação

Muitas vezes, as auditorias de segurança começam pelos sistemas críticos, como sistemas de pagamento, bancos de dados principais ou gerentes de relacionamento com o cliente. Mas o hack da ASOS mostra que os canais de comunicação são vetores perigosos que precisam ser protegidos. Contas em redes sociais, plataformas de notificação dentro do aplicativo, plataformas de e-mail como o Mailchimp e plataformas de SMS devem ser restritas ao número mínimo de funcionários, com a A2F rigorosamente aplicada.

Mesmo que um endereço de e-mail ou uma senha seja obtido por phishing, os hackers não conseguem acessar uma conta protegida por A2F. Se cada conta tiver uma senha única e usar um alias de e-mail, os hackers não podem testar as senhas repetidamente em vários serviços nem criar um perfil de atividade para o endereço de e-mail.

À medida que os hackers continuam a evoluir suas estratégias de ataque, não lhes dê a oportunidade de prejudicar sua reputação e atingir seus clientes. Adote um gerenciador de senhas para empresas que mantém você e seus clientes protegidos.