6 Ekim Salı günü, İngiliz moda perakendecisi ASOS’un müşterileri resmi uygulamadan “ASOS HACKED” başlıklı bir anlık bildirim aldı.

Şöyle yazıyordu: “Sayın Asos DPO ve BT ekibi, Snowflake örneğini tamamen ele geçirdik. Bizimle iletişime geçin, yoksa sızdıracağız.”

Bu mesajla bilgisayar korsanları, siber saldırı cephaneliğinde yeni bir silahı devreye soktu: kurumsal hesapları ele geçirmek ve gasp taleplerini doğrudan müşterilere ulaştırmak. Bu tür ASOS tarzı saldırılar olağan hale gelirse, müşterilerine düzenli olarak mesaj gönderen her işletme için sonuçları olacaktır. E-postalar veya uygulama içi iletiler aracılığıyla tüketicilere gönderilen toplu iletiler, 2020’de ele geçirilen Twitter hesapları(yeni pencere) üzerinden gönderilen bitcoin dolandırıcılığına benzer şekilde, güvenilir göndericilerden gelen kimlik avı saldırılarını büyütmenin kolay bir yoludur. Bu durum ayrıca şirketler üzerinde fidye ödeme baskısı yaratabilir veya şirketlerin kârlılığını etkileyen genel bir kaosa yol açabilir.

Neyse ki temel düzeyde, bir işletme ya da tüketici olarak önleme stratejileriniz pek değişmiyor. İşte bildiklerimiz.

ASOS’a ne oldu?

Snowflake, ASOS’un bulut altyapısı olarak kullandığı bir veri depolama ve analiz hizmetidir. Bilgisayar korsanları, Snowflake’e yerel olarak entegre edilmiş Simon AI adlı platformdaki bir çalışanın hesabına erişmek için bir sosyal mühendislik saldırısı kullandı. Haber kaynakları(yeni pencere), bilgisayar korsanlarının “oturum açma bilgilerini elde etmek için güvenilir bir kişiyi taklit ederek” çalışanı kandırdığını bildirdi.

(Bu olayda Snowflake’in kendisi ele geçirilmedi, ancak daha önce ele geçirilmişti(yeni pencere).)

Oradan yola çıkarak, ASOS uygulamasının bildirim sistemini kullanarak ASOS kullanıcılarına gönderilen bir gasp talebiyle alışılmadık bir fidye yazılımı saldırısı başlattılar. Bildirim şirketin DPO’suna (veri koruma görevlisi) ve BT departmanına hitaben yazıldığı için, bilgisayar korsanlarının ASOS’a ödeme yapması yönünde baskı oluşturmak amacıyla tehdidi kamuya açıkladığı anlaşılıyor.

Aynı gün yayımlanan bir piyasa duyurusunda(yeni pencere) ASOS, müşterilerle iletişim kurmak için kullanılan platformları içeren yetkisiz bir faaliyeti araştırdığını belirtti. Ayrıca müşterilere, ad ve iletişim bilgileri dahil kişisel bilgilerinin ele geçirilmiş olabileceğini, ancak parolalarının ve ödeme bilgilerinin etkilenmiş görünmediğini bildirdi.

Ancak sonraki günlerde, bilgisayar korsanlarının potansiyel olarak milyonlarca müşteriye ait verileri gerçekten topladığı ortaya çıktı(yeni pencere). Bilgisayar korsanları, çalınan verilere bir örnekle birlikte BBC ile iletişime geçti(yeni pencere): adlar, adresler, telefon numaraları, e-postalar, müşteri numaraları ve doğum tarihleri.

ASOS müşterileri ne yapmalı?

Bilgisayar korsanları kişisel bilgileri elde ettiği için, artık ASOS müşterilerine karşı çok daha etkili kimlik avı saldırıları başlatabilirler.

ASOS müşterisiyseniz:

  • ASOS hesabınız için yeni bir güçlü parola oluşturun.
  • ASOS’tan olduğunu söyleyen biri sizinle iletişime geçerek ek bilgiye ihtiyaç duyduğunu ya da hesabınızın kilitlendiğini belirtirse, onlarla iletişime geçmeyin. Aramayı, e-postayı veya SMS’i ASOS’un resmi müşteri hizmetleri kanalı(yeni pencere) aracılığıyla ASOS’a bildirin.
  • Diğer perakendecilerden ya da tanımadığınız birinden, sizden daha fazla bilgi isteyen veya bir bağlantıya tıklamanızı söyleyen alışılmadık e-postalar alırsanız, tıklamayın ve onlarla iletişime geçmeyin. Oturum açmak için her zaman aldığınız beklenmedik bağlantılar yerine doğrudan şirketin sitesine veya uygulamasına gidin.

Etkisi ne?

ASOS’un marka itibarı da önemli ölçüde etkilendi. Yalnızca müşteri verileri çalınmakla kalmadı, aynı zamanda saldırı doğrudan müşterilere gerçek zamanlı olarak duyuruldu: ASOS, müşterileri ve düzenleyicileri bir ihlal konusunda bilgilendirmeden önce saldırıyı kontrol altına alacak zamanı bulamadı.

Saldırının ardından endişeli müşterilerin sosyal medyada paylaşım yapmasıyla ASOS hisseleri %11’e kadar(yeni pencere) düştü. Doğrudan bildirim, bir işletmeye yapılan standart bir gasp saldırısından çok daha fazla kaygı ve aciliyet yarattı. Kullanıcıları hedef alan bilgisayar korsanları daha fazla kaosa neden oldu çünkü tehdidin ne kadar kapsamlı olduğu net değildi.

İşletmeler, müşterilerle iletişim kurmak için kullandıkları platformların gelecekte bilgisayar korsanları tarafından daha fazla hedefleneceğinin farkında olmalı. Bilgisayar korsanları doğrudan müşterilerinize ulaşabilirse, yanıtınızın kontrolünü anında kaybedersiniz ve müşterilerin markanıza duyduğu güven sarsılır.

İşletmeler bu tür bir saldırıdan nasıl kaçınabilir?

Bilgisayar korsanları, güvenilir bir ASOS kişisini taklit ederek Snowflake hesabına erişim sağladı; bu, kimlik avının tipik bir örneğidir. İşletmenizi kimlik avına karşı nasıl koruyacağınız konusunda kapsamlı yazılar kaleme aldık, ancak işletmenizin atabileceği en önemli adımlardan biri, hassas müşteri verilerine erişimi olan tüm hesaplar için iki adımlı doğrulamayı (2FA) açmaktır.

İki adımlı doğrulama kullanılsın

2FA’yı etkinleştirerek hesaplar için bilgisayar korsanlarının aşması çok daha zor olan ekstra bir koruma katmanı oluşturursunuz. 2FA’yı her hesap için güçlü ve benzersiz bir parolayla birleştirmek, işletmenizi kimlik avı saldırılarından korumak için etkili ve basit bir çözümdür.

Parola yönetimini merkezileştirin

Yerleşik bir 2FA doğrulayıcısı, e-posta takma adları ve güvenli paylaşım özelliklerine sahip bir kurumsal parola yöneticisi benimsemek, işletmenizin ASOS’a yapılan türde bir saldırıya karşı korunmasına yardımcı olabilir. Oturum açma bilgilerini, parolaları güvenli şekilde oluşturabilen, depolayabilen ve otomatik doldurabilen uçtan uca şifrelenmiş bir parola yöneticisinde güvence altına almak, ekip üyelerinizin güvenli çalışmasına ve erişmeleri gereken hassas verileri korumasına yardımcı olur.

İletişim kanallarını güçlendirin

Güvenlik denetimleri genellikle ödeme sistemleri, temel veritabanları veya müşteri ilişkileri yöneticileri gibi kritik sistemlerle başlar. Ancak ASOS saldırısı, iletişim kanallarının kilit altına alınması gereken tehlikeli vektörler olduğunu gösteriyor. Sosyal medya hesapları, uygulama içi bildirim platformları, Mailchimp gibi e-posta platformları ve SMS platformları, 2FA’nın sıkı şekilde uygulandığı minimum sayıda çalışanla sınırlandırılmalıdır.

Bir e-posta adresi veya parola kimlik avıyla ele geçirilse bile, bilgisayar korsanları 2FA ile korunan bir hesaba erişemez. Her hesabın benzersiz bir parolası varsa ve bir e-posta takma adı kullanıyorsa, bilgisayar korsanları parolaları birden fazla hizmette yeniden deneyemez veya e-posta adresi için bir etkinlik profili oluşturamaz.

Bilgisayar korsanları saldırı stratejilerini geliştirmeye devam ederken, onlara itibarınıza zarar verme ve müşterilerinizi hedef alma fırsatı vermeyin. Sizi ve müşterilerinizi güvende tutan bir kurumsal parola yöneticisi benimseyin.