Marți, 6 octombrie, clienții ASOS, retailerul britanic de modă, au primit o notificare push de la aplicația oficială, cu titlul „ASOS HACKED”.

În ea scria: „Stimați responsabili DPO și IT de la Asos, am compromis complet instanța Snowflake. Colaborați cu noi sau vom divulga totul.”

Prin acest mesaj, hackerii au dezlănțuit o armă nouă în arsenalul atacurilor cibernetice: compromiterea conturilor companiilor și transmiterea cererilor de răscumpărare direct către clienți. Dacă astfel de atacuri în stil ASOS devin banale, există implicații pentru orice companie care trimite în mod regulat mesaje clienților. Mesajele în masă către consumatori, prin e-mailuri sau prin mesaje din aplicație, sunt o modalitate simplă de a amplifica atacurile de phishing de la expeditori aprobați, la fel ca escrocheria cu bitcoin trimisă prin conturi de Twitter piratate(fereastră nouă) în 2020. Acestea pot pune și presiune pe companii să plătească răscumpărări sau pot provoca un haos general care afectează rezultatele financiare ale companiilor.

Din fericire, la nivel fundamental, strategiile de prevenire nu se schimbă prea mult, fie că este vorba de o firmă, fie de un consumator. Iată ce știm.

Ce s-a întâmplat cu ASOS?

Snowflake este un serviciu de stocare și analiză a datelor pe care ASOS îl folosea ca infrastructură cloud. Hackerii au folosit un atac de inginerie socială pentru a accesa contul unui angajat de pe o platformă numită Simon AI, integrată nativ în Snowflake. Potrivit unor relatări(fereastră nouă) din presă, hackerii au păcălit angajatul „prezentându-se drept un contact aprobat pentru a obține acreditările de conectare”.

Snowflake în sine nu a fost compromis în acest caz, dar în trecut a fost vizat de o încălcare de date(fereastră nouă).

De acolo, au lansat un atac ransomware neortodox, folosind sistemul de notificări al aplicației ASOS pentru a transmite o cerere de răscumpărare către utilizatorii ASOS. Deoarece notificarea era adresată responsabilului DPO (responsabil pentru protecția datelor) și departamentului IT al companiei, se pare că hackerii făceau amenințarea publică pentru a crea presiune asupra ASOS în vederea efectuării unei plăți.

Într-un anunț de piață(fereastră nouă) publicat în aceeași zi, ASOS a declarat că investighează o activitate neautorizată care implica platformele folosite pentru comunicarea cu clienții. Compania a notificat de asemenea clienții că informațiile lor personale, inclusiv numele și detaliile de contact, ar fi putut fi accesate, dar că parolele și detaliile de plată nu par să fi fost afectate.

Totuși, în zilele următoare, a ieșit la iveală(fereastră nouă) că hackerii au colectat de fapt date despre potențial milioane de clienți. Hackerii au contactat BBC(fereastră nouă) și au furnizat un exemplu de date furate: nume, adrese, numere de telefon, adrese de e-mail, numere de client și date de naștere.

Ce ar trebui să facă clienții ASOS?

Deoarece hackerii au obținut informații personale, aceștia pot lansa acum atacuri de phishing mult mai eficiente împotriva clienților ASOS.

Dacă sunteți client ASOS:

  • Creați o parolă puternică nouă pentru contul dumneavoastră ASOS.
  • Dacă cineva vă contactează pretinzând că este de la ASOS și vă solicită informații suplimentare sau vă anunță că vi s-a blocat contul, nu intrați în contact cu acea persoană. Informați ASOS despre apel, e-mail sau SMS prin canalul oficial de relații cu clienții(fereastră nouă).
  • Dacă primiți e-mailuri neobișnuite de la alți retaileri sau de la persoane necunoscute care vă cer informații suplimentare sau vă îndeamnă să dați clic pe un link, nu dați clic și nu intrați în contact cu acestea. Navigați întotdeauna direct pe site-ul web sau în aplicația companiei pentru a vă conecta, nu prin linkuri neașteptate pe care le primiți.

Care este impactul?

Reputația brandului ASOS a fost și ea afectată semnificativ. Nu doar că datele clienților au fost furate, dar atacul a fost anunțat direct clienților în timp real: ASOS nu a avut timp să limiteze atacul înainte de a notifica clienții și autoritățile de reglementare cu privire la o încălcare.

Acțiunile ASOS au scăzut cu până la 11%(fereastră nouă) după atac, pe măsură ce clienții îngrijorați au postat despre incident pe rețelele sociale. Notificarea directă a creat mult mai multă anxietate și urgență decât un atac standard de extorcare adresat direct unei companii. Vizând utilizatorii, hackerii au provocat mai mult haos, deoarece nu era clar cât de amplă era amenințarea.

Companiile trebuie să știe că platformele pe care le folosesc pentru a comunica cu clienții vor fi probabil vizate tot mai mult de hackeri în viitor. Dacă hackerii pot ajunge direct la clienții dumneavoastră, pierdeți instantaneu controlul asupra reacției, iar încrederea clienților în brandul dumneavoastră este distrusă.

Cum pot companiile evita acest tip de atac?

Hackerii au obținut acces la contul Snowflake prezentându-se drept un contact aprobat de la ASOS, un exemplu tipic de phishing. Am scris pe larg despre cum să vă protejați compania împotriva phishingului, dar una dintre cele mai importante măsuri pe care le poate lua compania dumneavoastră este activarea autentificării cu doi factori (A2F) pentru toate conturile care au acces la date sensibile ale clienților.

Activare A2F

Activând A2F, creați un nivel suplimentar de protecție pentru conturi, mult mai greu de spart de către hackeri. Combinarea A2F cu o parolă puternică și unică pentru fiecare cont este o soluție eficientă și simplă de protejare a companiei dumneavoastră împotriva atacurilor de phishing.

Centralizarea gestionării parolelor

Adoptarea unui manager de parole pentru firme cu autentificator A2F integrat, aliasuri de e-mail și partajare securizată vă poate ajuta compania să se protejeze împotriva tipului de atac lansat asupra ASOS. Securizarea conectărilor într-un manager de parole criptat de la un capăt la altul, care poate genera, stoca și completa automat parole în siguranță, îi ajută pe membrii echipei dumneavoastră să lucreze în siguranță și să protejeze datele sensibile la care trebuie să aibă acces.

Securizarea canalelor de comunicare

Adesea, auditurile de securitate încep cu sistemele critice, precum sistemele de plată, bazele de date principale sau sistemele de gestionare a relațiilor cu clienții. Dar atacul asupra ASOS arată că canalele de comunicare sunt vectori periculoși care trebuie securizați strict. Conturile de pe rețelele sociale, platformele de notificări din aplicații, platformele de e-mail precum Mailchimp și platformele de SMS ar trebui restricționate la un număr minim de angajați, cu A2F aplicat cu strictețe.

Chiar dacă o adresă de e-mail sau o parolă este obținută prin phishing, hackerii nu pot accesa un cont protejat cu A2F. Dacă fiecare cont are o parolă unică și folosește un alias de e-mail, hackerii nu pot reîncerca parolele pe mai multe servicii și nu pot construi un profil de activitate pentru adresa de e-mail.

Pe măsură ce hackerii își perfecționează strategiile de atac, nu le oferiți ocazia să vă afecteze reputația și să vă vizeze clienții. Adoptați un manager de parole pentru firme care vă protejează pe dumneavoastră și clienții dumneavoastră.