Tisdagen den 6 oktober fick kunderna hos ASOS, den brittiska modeåterförsäljaren, en pushavisering från den officiella appen med rubriken ”ASOS HACKED”.

Det stod: ”Bästa Asos DPO och IT, vi har fullständigt komprometterat Snowflake-instansen. Kontakta oss, annars läcker vi det.”

Med detta meddelande släppte hackarna lös ett nytt vapen i cyberattackens arsenal: att göra intrång i företagskonton och ställa sina utpressningskrav direkt till kunderna. Om attacker i ASOS stil blir vanliga får det konsekvenser för alla företag som regelbundet skickar meddelanden till kunder. Massmeddelanden till konsumenter via e-post eller meddelanden i appen är ett enkelt sätt att förstärka nätfiskeattacker från betrodda avsändare, ungefär som bitcoinbedrägeriet som skickades via hackade Twitter-konton(nytt fönster) 2020. Det kan också sätta press på företag att betala lösensummor eller skapa allmänt kaos som påverkar företagens resultat.

Som tur är förändras inte dina förebyggande strategier särskilt mycket på en grundläggande nivå, vare sig du är företag eller konsument. Här är vad vi vet.

Vad hände med ASOS?

Snowflake är en tjänst för datalagring och analys som ASOS använde som molninfrastruktur. Hackarna använde en attack med social manipulation för att få åtkomst till en anställds konto på en plattform som heter Simon AI, vilken är inbyggd direkt i Snowflake. Nyhetsrapporter(nytt fönster) uppgav att hackarna lurade den anställde genom att ”utge sig för att vara en betrodd kontakt för att komma över inloggningsuppgifter”.

(Snowflake självt komprometterades inte i det här fallet, men tjänsten har utsatts för intrång tidigare(nytt fönster).)

Därifrån inledde de en okonventionell utpressningsattack och använde aviseringssystemet i ASOS app för att skicka ett utpressningskrav till ASOS användare. Eftersom aviseringen var adresserad till företagets DPO (dataskyddsombud) och IT-avdelning verkar hackarna ha offentliggjort hotet för att skapa press på ASOS att betala.

I ett marknadsmeddelande(nytt fönster) samma dag uppgav ASOS att man utredde obehörig aktivitet som rörde plattformar som används för att kommunicera med kunder. Man meddelade också kunderna att obehöriga kan ha fått åtkomst till deras personuppgifter, inklusive namn och kontaktuppgifter, men att lösenord och betaluppgifter inte tycktes ha påverkats.

Men under de följande dagarna framkom(nytt fönster) det att hackarna faktiskt samlade in uppgifter om potentiellt miljontals kunder. Hackarna kontaktade BBC(nytt fönster) med ett exempel på de stulna uppgifterna: namn, adresser, telefonnummer, e-postadresser, kundnummer och födelsedatum.

Vad bör ASOS kunder göra?

Eftersom hackarna kom över personuppgifter kan de nu genomföra mycket effektivare nätfiskeattacker mot ASOS kunder.

Om du är kund hos Asos:

  • Skapa ett nytt starkt lösenord för ditt ASOS-konto.
  • Om någon kontaktar dig och påstår sig vara från ASOS och säger att de behöver mer information eller att ditt konto nu är låst, ska du inte svara dem. Informera ASOS om samtalet, e-postmeddelandet eller SMS:et via deras officiella kanal för kundtjänst(nytt fönster).
  • Om du får ovanliga e-postmeddelanden från andra återförsäljare eller från någon du inte känner som ber om mer information eller vill att du klickar på en länk, ska du inte klicka eller svara. Navigera alltid direkt till företagets webbplats eller app för att logga in i stället för via oväntade länkar du får.

Vilka blir konsekvenserna?

ASOS varumärkesrykte har också påverkats betydligt. Inte bara har kunduppgifter stulits, utan attacken tillkännagavs direkt till kunderna i realtid: ASOS hade inte tid att begränsa attacken innan kunderna och tillsynsmyndigheterna underrättades om intrånget.

ASOS-aktien föll med så mycket som 11 %(nytt fönster) efter attacken när oroliga kunder skrev om den i sociala medier. Den direkta aviseringen skapade betydligt mer oro och brådska än en vanlig utpressningsattack riktad direkt mot ett företag. Genom att rikta in sig på användarna orsakade hackarna mer kaos eftersom det inte stod klart hur omfattande hotet var.

Företag behöver vara medvetna om att de plattformar de använder för att kommunicera med kunder sannolikt kommer att utsättas för hackare i allt högre grad i framtiden. Om hackare kan gå direkt till dina kunder förlorar du omedelbart kontrollen över din respons och kundernas förtroende för ditt varumärke krossas.

Hur kan företag undvika den här typen av attack?

Hackarna fick åtkomst till Snowflake-kontot genom att utge sig för att vara en betrodd ASOS-kontakt, ett typiskt exempel på nätfiske. Vi har skrivit mycket om hur du skyddar ditt företag mot nätfiske, men en av de viktigaste åtgärderna ditt företag kan vidta är att aktivera tvåfaktorsautentisering (2FA) för alla konton med åtkomst till känsliga kunduppgifter.

Aktivera 2FA

Genom att aktivera 2FA skapar du ett extra skyddslager för konton som är mycket svårare för hackare att göra intrång i. Att kombinera 2FA med ett starkt och unikt lösenord för varje konto är en effektiv och enkel lösning för att skydda ditt företag mot nätfiskeattacker.

Centralisera lösenordshanteringen

Att införa en lösenordshanterare för företag med inbyggd 2FA-autentiserare, e-postalias och säker delning kan hjälpa ditt företag att skydda sig mot den typ av attack som riktades mot ASOS. Att säkra inloggningar i en end-to-end-krypterad lösenordshanterare som på ett säkert sätt kan generera, lagra och autofylla lösenord hjälper dina teammedlemmar att arbeta säkert och skydda de känsliga uppgifter de behöver ha åtkomst till.

Härda kommunikationskanalerna

Ofta börjar säkerhetsrevisioner med kritiska system som betalsystem, centrala databaser eller system för kundrelationshantering. Men ASOS-hackningen visar att kommunikationskanaler är farliga angreppsvektorer som behöver låsas ned. Konton i sociala medier, plattformar för aviseringar i appar, e-postplattformar som Mailchimp och SMS-plattformar bör begränsas till ett minimum antal anställda, med 2FA strikt genomfört.

Även om en e-postadress eller ett lösenord blir nätfiskat kan hackare inte komma åt ett konto som skyddas av 2FA. Om varje konto har ett unikt lösenord och använder ett e-postalias kan hackarna inte prova lösenord mot flera tjänster igen eller bygga en aktivitetsprofil för e-postadressen.

I takt med att hackare fortsätter att utveckla sina attackstrategier ska du inte ge dem möjlighet att skada ditt rykte och rikta in sig mot dina kunder. Inför en lösenordshanterare för företag som håller dig och dina kunder säkra.