Na terça-feira, 6 de outubro, os clientes da ASOS, a retalhista de moda britânica, receberam uma notificação push da aplicação oficial com o título «ASOS HACKED».

Dizia o seguinte: «Caro DPO e departamento de TI da Asos, comprometemos totalmente a instância Snowflake. Contactem-nos, ou divulgaremos os dados».

Com esta mensagem, os hackers lançaram uma nova arma no arsenal dos ciberataques: invadir contas de empresas e apresentar as suas exigências de extorsão diretamente aos clientes. Se estes ataques ao estilo da ASOS se tornarem comuns, haverá consequências para qualquer empresa que envie mensagens aos clientes com regularidade. O envio de mensagens em massa aos consumidores através de e-mails ou de mensagens na aplicação é uma forma fácil de amplificar ataques de phishing provenientes de remetentes de confiança, à semelhança do esquema fraudulento com bitcoin enviado através de contas do Twitter pirateadas(nova janela) em 2020. Também pode aumentar a pressão sobre as empresas para pagarem resgates ou provocar um caos generalizado que afeta os resultados financeiros das empresas.

Felizmente, no essencial, as suas estratégias de prevenção enquanto empresa ou consumidor não mudam muito. Eis o que sabemos.

O que aconteceu à ASOS?

A Snowflake é um serviço de armazenamento e análise de dados que a ASOS utilizava como infraestrutura de nuvem. Os hackers utilizaram um ataque de engenharia social para aceder à conta de um funcionário numa plataforma chamada Simon AI, integrada de forma nativa na Snowflake. Segundo notícias(nova janela), os hackers enganaram o funcionário ao «fazer-se passar por um contacto de confiança para obter credenciais de início de sessão».

A própria Snowflake não foi comprometida neste caso, mas já foi alvo de incidentes(nova janela) anteriormente.

A partir daí, lançaram um ataque de ransomware pouco convencional, utilizando o sistema de notificações da aplicação da ASOS para enviar uma exigência de extorsão aos utilizadores da ASOS. Como a notificação era dirigida ao DPO (responsável pela proteção de dados) e ao departamento de TI da empresa, parece que os hackers tornaram a ameaça pública para pressionar a ASOS a efetuar um pagamento.

Num comunicado ao mercado(nova janela) no mesmo dia, a ASOS afirmou que estava a investigar atividade não autorizada envolvendo plataformas utilizadas para comunicar com os clientes. Notificou também os clientes de que os seus dados pessoais, incluindo nomes e detalhes de contacto, podem ter sido acedidos, mas que as palavras-passe e os dados de pagamento não pareciam ter sido afetados.

No entanto, nos dias seguintes, veio a saber-se(nova janela) que os hackers recolheram efetivamente dados de potencialmente milhões de clientes. Os hackers contactaram a BBC(nova janela) com um exemplo dos dados roubados: nomes, endereços, números de telefone, e-mails, números de cliente e datas de nascimento.

O que devem fazer os clientes da ASOS?

Como os hackers obtiveram dados pessoais, podem agora lançar ataques de phishing muito mais eficazes contra os clientes da ASOS.

Se é cliente da Asos:

  • Crie uma nova palavra-passe forte para a sua conta ASOS.
  • Se alguém o contactar a alegar ser da ASOS e a dizer que precisa de mais informações ou que a sua conta está agora bloqueada, não interaja com essa pessoa. Informe a ASOS da chamada, do e-mail ou do SMS através do canal oficial de apoio ao cliente(nova janela).
  • Se receber e-mails invulgares de outros retalhistas ou de alguém que não conhece a pedir mais informações ou a dizer-lhe para clicar numa ligação, não clique nem interaja com essa pessoa. Navegue sempre diretamente para o sítio web ou a aplicação da empresa para iniciar sessão, em vez de utilizar ligações inesperadas que receba.

Qual é o impacto?

A reputação da marca ASOS também foi significativamente afetada. Não só os dados dos clientes foram roubados, como o ataque foi anunciado diretamente aos clientes em tempo real: a ASOS não teve tempo de conter o ataque antes de notificar os clientes e as entidades reguladoras de um incidente.

As ações da ASOS caíram até 11%(nova janela) após o ataque, à medida que clientes preocupados publicavam sobre o assunto nas redes sociais. A notificação direta criou muito mais ansiedade e urgência do que um ataque de extorsão normal dirigido diretamente a uma empresa. Ao visar os utilizadores, os hackers causaram mais caos, porque não era claro qual era a dimensão da ameaça.

As empresas precisam de estar conscientes de que as plataformas que utilizam para comunicar com os clientes serão provavelmente cada vez mais visadas por hackers no futuro. Se os hackers conseguirem chegar diretamente aos seus clientes, perde instantaneamente o controlo da sua resposta e a confiança dos clientes na sua marca fica destruída.

Como podem as empresas evitar este tipo de ataque?

Os hackers acederam à conta Snowflake fazendo-se passar por um contacto de confiança da ASOS, um exemplo típico de phishing. Já escrevemos bastante sobre como proteger a sua empresa contra o phishing, mas uma das ações mais importantes que a sua empresa pode tomar é ativar a autenticação de dois fatores (2FA) em todas as contas com acesso a dados sensíveis dos clientes.

Ativar a 2FA

Ao ativar a 2FA, cria uma camada adicional de proteção para as contas, muito mais difícil de os hackers contornarem. Combinar a 2FA com uma palavra-passe forte e única para cada conta é uma solução eficaz e simples para proteger a sua empresa contra ataques de phishing.

Centralizar a gestão de palavras-passe

Adotar um gestor de palavras-passe para empresas com um autenticador 2FA integrado, aliases de e-mail e partilha segura pode ajudar a sua empresa a proteger-se contra o tipo de ataque lançado contra a ASOS. Proteger os inícios de sessão num gestor de palavras-passe encriptado de ponto a ponto, capaz de gerar, armazenar e preencher automaticamente palavras-passe em segurança, ajuda os membros da sua equipa a trabalhar em segurança e a proteger os dados sensíveis a que precisam de aceder.

Reforçar a segurança dos canais de comunicação

Muitas vezes, as auditorias de segurança começam pelos sistemas críticos, como sistemas de pagamento, bases de dados principais ou gestores de relações com clientes. Mas o ataque à ASOS mostra que os canais de comunicação são vetores perigosos que precisam de ser protegidos. As contas de redes sociais, as plataformas de notificações na aplicação, as plataformas de e-mail como o Mailchimp e as plataformas de SMS devem ser restringidas ao número mínimo de colaboradores, com a 2FA rigorosamente aplicada.

Mesmo que um endereço de e-mail ou uma palavra-passe sejam obtidos através de phishing, os hackers não conseguem aceder a uma conta protegida por 2FA. Se cada conta tiver uma palavra-passe única e utilizar um alias de e-mail, os hackers não conseguem repetir palavras-passe em vários serviços nem criar um perfil de atividade para o endereço de e-mail.

À medida que os hackers continuam a aperfeiçoar as suas estratégias de ataque, não lhes dê a oportunidade de prejudicar a sua reputação e visar os seus clientes. Adote um gestor de palavras-passe para empresas que mantém a sua empresa e os seus clientes em segurança.