Во вторник, 6 октября, клиенты британского ритейлера модной одежды ASOS получили push-уведомление из официального приложения с заголовком «ASOS HACKED».

В нем говорилось: «Уважаемые специалисты по защите данных и IT-отдел Asos, мы полностью скомпрометировали экземпляр Snowflake. Свяжитесь с нами, иначе мы сольем данные».

Этим сообщением хакеры выпустили новое оружие в арсенале кибератак: взлом корпоративных аккаунтов и предъявление требований о выкупе напрямую клиентам. Если такие атаки в стиле ASOS станут обычным делом, это отразится на любом бизнесе, который регулярно рассылает сообщения клиентам. Массовые рассылки потребителям по электронной почте или внутри приложения — простой способ усилить фишинговые атаки от имени доверенных отправителей, как это было с биткоин-мошенничеством, разосланным через взломанные аккаунты Twitter(новое окно) в 2020 году. Это также оказывает давление на компании, подталкивая их платить выкуп, или провоцирует общий хаос, который бьет по финансовым показателям.

К счастью, в основе своей стратегии защиты — неважно, бизнес вы или потребитель — меняются незначительно. Вот что известно.

Что случилось с ASOS?

Snowflake — это сервис для хранения и анализа данных, который ASOS использовала как облачную инфраструктуру. Хакеры применили атаку социальной инженерии, чтобы получить доступ к аккаунту сотрудника на платформе Simon AI, встроенной непосредственно в Snowflake. По сообщениям(новое окно) СМИ, хакеры обманули сотрудника, «выдав себя за доверенный контакт, чтобы получить учетные данные для входа».

(Сама Snowflake в этом случае не пострадала, но ее взламывали и раньше(новое окно).)

Оттуда они развернули нестандартную атаку с использованием программы-вымогателя, задействовав систему уведомлений приложения ASOS, чтобы отправить требование о выкупе пользователям ASOS. Поскольку уведомление было адресовано специалисту по защите данных (DPO) и IT-отделу компании, похоже, что хакеры решили сделать угрозу публичной, чтобы оказать давление на ASOS и вынудить ее заплатить.

В тот же день в сообщении для рынка(новое окно) ASOS заявила, что изучает несанкционированную активность, связанную с платформами, которые используются для общения с клиентами. Компания также уведомила клиентов, что их персональные данные, включая имена и контактную информацию, могли оказаться в открытом доступе, однако пароли и платежные данные, судя по всему, не пострадали.

Однако в последующие дни выяснилось(новое окно), что хакеры все-таки собрали данные, потенциально касающиеся миллионов клиентов. Хакеры связались с BBC(новое окно) и показали пример украденных данных: имена, адреса, номера телефонов, адреса электронной почты, номера клиентов и даты рождения.

Что делать клиентам ASOS?

Поскольку хакеры получили персональные данные, теперь они могут проводить против клиентов ASOS гораздо более эффективные фишинговые атаки.

Если вы клиент Asos:

  • Создайте новый надежный пароль для своего аккаунта ASOS.
  • Если с вами свяжется человек, который представится сотрудником ASOS, и попросит дополнительную информацию или сообщит, что ваш аккаунт заблокирован, не вступайте с ним в контакт. Сообщите ASOS о звонке, письме или смс через официальный канал поддержки клиентов(новое окно).
  • Если вы получите необычное письмо от других ритейлеров или незнакомого человека с просьбой предоставить дополнительную информацию или перейти по ссылке, не переходите по ней и не вступайте в контакт. Всегда заходите на веб-сайт или в приложение компании напрямую, а не по неожиданным ссылкам из письма.

Каковы последствия?

Репутация бренда ASOS также серьезно пострадала. Мало того что данные клиентов были украдены — об атаке объявили напрямую клиентам в реальном времени: у ASOS не было времени локализовать атаку, прежде чем уведомлять клиентов и регуляторов об утечке.

После атаки акции ASOS упали на целых 11 %(новое окно), пока обеспокоенные клиенты публиковали посты об этом в соцсетях. Прямое уведомление вызвало гораздо больше тревоги и ощущения срочности, чем обычная атака с требованием выкупа, направленная непосредственно компании. Нацелившись на пользователей, хакеры спровоцировали больше хаоса, потому что было непонятно, насколько масштабна угроза.

Бизнесу важно понимать, что платформы, которые он использует для общения с клиентами, в будущем будут все чаще становиться целью хакеров. Если хакеры могут обратиться напрямую к вашим клиентам, вы мгновенно теряете контроль над ситуацией, а доверие клиентов к вашему бренду рушится.

Как бизнесу избежать подобных атак?

Хакеры получили доступ к аккаунту в Snowflake, выдав себя за доверенный контакт ASOS, — типичный пример фишинга. Мы много писали о том, как защитить бизнес от фишинга, но одно из самых важных действий — включить двухфакторную аутентификацию (2FA) для всех аккаунтов, у которых есть доступ к конфиденциальным данным клиентов.

Включить 2FA

Включив 2FA, вы создаете дополнительный уровень защиты аккаунтов, который хакерам гораздо сложнее преодолеть. Сочетание 2FA с надежным уникальным паролем для каждого аккаунта — эффективное и простое решение, чтобы защитить бизнес от фишинговых атак.

Централизуйте управление паролями

Корпоративный менеджер паролей со встроенным аутентификатором 2FA, псевдонимами электронной почты и безопасным обменом поможет защитить ваш бизнес от атак, подобных той, что произошла с ASOS. Безопасное хранение данных для входа в менеджере паролей со сквозным шифрованием, который надежно генерирует, хранит и автоматически подставляет пароли, помогает сотрудникам работать безопасно и защищать конфиденциальные данные, к которым у них есть доступ.

Усильте защиту каналов коммуникации

Аудит безопасности часто начинают с критически важных систем: платежных систем, основных баз данных или систем управления взаимоотношениями с клиентами. Но взлом ASOS показывает, что каналы коммуникации — опасные векторы, которые тоже нужно закрыть. Доступ к аккаунтам в соцсетях, платформам для уведомлений в приложении, почтовым платформам вроде Mailchimp и смс-платформам следует ограничить минимальным числом сотрудников при строгом обязательном использовании 2FA.

Даже если адрес электронной почты или пароль попал к фишерам, хакеры не смогут получить доступ к аккаунту, защищенному 2FA. Если у каждого аккаунта уникальный пароль и используется псевдоним электронной почты, хакеры не смогут перебирать пароли в разных сервисах или составить профиль активности для адреса электронной почты.

Пока хакеры продолжают совершенствовать свои стратегии атак, не давайте им возможности навредить вашей репутации и атаковать ваших клиентов. Выберите корпоративный менеджер паролей, который защитит вас и ваших клиентов.