Vào thứ Ba ngày 6 tháng 10, khách hàng của ASOS, nhà bán lẻ thời trang Anh, đã nhận được thông báo đẩy từ ứng dụng chính thức với tiêu đề “ASOS BỊ HACK”.

Nội dung viết: “Kính gửi DPO và bộ phận IT của Asos, chúng tôi đã xâm phạm hoàn toàn hệ thống Snowflake. Hãy liên hệ với chúng tôi, nếu không chúng tôi sẽ rò rỉ dữ liệu.”

Với thông điệp này, tin tặc đã tung ra một vũ khí mới trong kho vũ khí tấn công mạng: xâm nhập tài khoản doanh nghiệp và gửi thẳng yêu cầu tống tiền đến khách hàng. Nếu những cuộc tấn công kiểu ASOS này trở nên phổ biến, mọi doanh nghiệp thường xuyên gửi thư cho khách hàng đều có thể bị ảnh hưởng. Gửi thư hàng loạt đến người tiêu dùng qua email hoặc tin nhắn trong ứng dụng là cách dễ dàng để khuếch đại các cuộc tấn công lừa đảo từ những người gửi đáng tin cậy, tương tự vụ lừa đảo bitcoin được gửi qua các tài khoản Twitter bị hack(cửa sổ mới) vào năm 2020. Điều này cũng có thể gây áp lực buộc doanh nghiệp phải trả tiền chuộc hoặc tạo ra hỗn loạn chung ảnh hưởng đến lợi nhuận của doanh nghiệp.

May mắn thay, về cơ bản, các chiến lược phòng ngừa của bạn dù là doanh nghiệp hay người tiêu dùng cũng không thay đổi nhiều. Đây là những gì chúng ta biết.

Điều gì đã xảy ra với ASOS?

Snowflake là dịch vụ lưu trữ và phân tích dữ liệu mà ASOS dùng làm hạ tầng đám mây. Tin tặc đã sử dụng tấn công kỹ thuật xã hội để truy cập vào tài khoản của một nhân viên trên nền tảng tên Simon AI, vốn được tích hợp sẵn vào Snowflake. Các báo cáo(cửa sổ mới) tin tức cho biết tin tặc đã lừa nhân viên này bằng cách “mạo danh một liên hệ đáng tin cậy để lấy thông tin đăng nhập”.

(Bản thân Snowflake không bị xâm phạm trong trường hợp này, nhưng trước đây nó từng bị vi phạm(cửa sổ mới).)

Từ đó, chúng phát động một cuộc tấn công ransomware khác thường, sử dụng hệ thống thông báo của ứng dụng ASOS để gửi yêu cầu tống tiền đến người dùng ASOS. Vì thông báo được gửi đến DPO (nhân viên bảo vệ dữ liệu) và bộ phận IT của công ty, có vẻ như tin tặc đã công khai mối đe dọa nhằm gây áp lực buộc ASOS phải thanh toán.

Trong một thông báo thị trường(cửa sổ mới) cùng ngày, ASOS cho biết đang điều tra hoạt động trái phép liên quan đến các nền tảng dùng để liên lạc với khách hàng. Công ty cũng thông báo cho khách hàng rằng thông tin cá nhân của họ, bao gồm tên và chi tiết liên hệ, có thể đã bị truy cập, nhưng mật khẩu và chi tiết thanh toán dường như không bị ảnh hưởng.

Tuy nhiên, trong những ngày sau đó, thông tin được tiết lộ(cửa sổ mới) cho thấy tin tặc thực sự đã thu thập dữ liệu về số lượng khách hàng có thể lên tới hàng triệu người. Tin tặc đã liên hệ với BBC(cửa sổ mới) và cung cấp ví dụ về dữ liệu bị đánh cắp: tên, địa chỉ, số điện thoại, email, số khách hàng và ngày sinh.

Khách hàng ASOS nên làm gì?

Vì tin tặc đã có được thông tin cá nhân, giờ đây chúng có thể phát động các cuộc tấn công lừa đảo hiệu quả hơn nhiều nhắm vào khách hàng ASOS.

Nếu bạn là khách hàng của ASOS:

  • Tạo mật khẩu mạnh mới cho tài khoản ASOS của bạn.
  • Nếu có người tự nhận là từ ASOS liên hệ với bạn, nói rằng họ cần thêm thông tin hoặc tài khoản của bạn đã bị khóa, đừng tương tác với họ. Hãy thông báo cho ASOS về cuộc gọi, email hoặc SMS đó qua kênh chăm sóc khách hàng chính thức(cửa sổ mới) của họ.
  • Nếu bạn nhận được email bất thường từ các nhà bán lẻ khác hoặc từ người lạ yêu cầu bạn cung cấp thêm thông tin hay bảo bạn nhấp vào liên kết, đừng nhấp vào hay tương tác với chúng. Hãy luôn truy cập trực tiếp trang web hoặc ứng dụng của công ty để đăng nhập thay vì qua những liên kết bất ngờ bạn nhận được.

Tác động là gì?

Danh tiếng thương hiệu của ASOS cũng bị ảnh hưởng đáng kể. Không chỉ dữ liệu khách hàng bị đánh cắp, mà cuộc tấn công còn được công bố trực tiếp đến khách hàng trong thời gian thực: ASOS không có thời gian để ngăn chặn cuộc tấn công trước khi thông báo cho khách hàng và cơ quan quản lý về vụ vi phạm.

Cổ phiếu ASOS đã giảm tới 11%(cửa sổ mới) sau cuộc tấn công khi khách hàng lo ngại đăng bài về sự việc trên mạng xã hội. Thông báo trực tiếp gây lo lắng và cấp bách hơn nhiều so với một cuộc tấn công tống tiền thông thường nhắm trực tiếp vào doanh nghiệp. Bằng cách nhắm vào người dùng, tin tặc đã gây ra nhiều hỗn loạn hơn vì không rõ mối đe dọa nghiêm trọng đến mức nào.

Doanh nghiệp cần ý thức rằng các nền tảng họ dùng để liên lạc với khách hàng có khả năng sẽ bị tin tặc nhắm đến nhiều hơn trong tương lai. Nếu tin tặc có thể nhắm thẳng vào khách hàng của bạn, bạn sẽ mất kiểm soát phản ứng ngay lập tức và niềm tin của khách hàng vào thương hiệu của bạn sẽ bị phá vỡ.

Làm thế nào doanh nghiệp có thể tránh kiểu tấn công này?

Tin tặc đã truy cập được vào tài khoản Snowflake bằng cách mạo danh một liên hệ đáng tin cậy của ASOS, một ví dụ điển hình của lừa đảo. Chúng tôi đã viết rất nhiều về cách bảo vệ doanh nghiệp của bạn khỏi lừa đảo, nhưng một trong những hành động quan trọng nhất doanh nghiệp có thể thực hiện là kích hoạt xác thực hai yếu tố (2FA) cho tất cả tài khoản có quyền truy cập dữ liệu khách hàng nhạy cảm.

Kích hoạt 2FA

Khi kích hoạt 2FA, bạn tạo thêm một lớp bảo vệ cho tài khoản mà tin tặc khó xâm phạm hơn nhiều. Kết hợp 2FA với mật khẩu mạnh và duy nhất cho mỗi tài khoản là giải pháp hiệu quả và đơn giản để bảo vệ doanh nghiệp của bạn khỏi các cuộc tấn công lừa đảo.

Tập trung hóa việc quản lý mật khẩu

Sử dụng trình quản lý mật khẩu doanh nghiệp tích hợp trình xác thực 2FA, biệt danh email và chia sẻ an toàn có thể giúp doanh nghiệp của bạn phòng chống kiểu tấn công đã nhắm vào ASOS. Bảo vệ đăng nhập bằng trình quản lý mật khẩu mã hóa đầu cuối có thể tạo, lưu trữ và tự động điền mật khẩu an toàn giúp các thành viên trong nhóm làm việc an toàn và bảo vệ dữ liệu nhạy cảm mà họ cần truy cập.

Tăng cường bảo mật các kênh liên lạc

Các cuộc kiểm tra bảo mật thường bắt đầu với những hệ thống quan trọng như hệ thống thanh toán, cơ sở dữ liệu cốt lõi hay hệ thống quản lý quan hệ khách hàng. Nhưng vụ hack ASOS cho thấy các kênh liên lạc là những vector nguy hiểm cần được khóa chặt. Tài khoản mạng xã hội, nền tảng thông báo trong ứng dụng, nền tảng email như Mailchimp và nền tảng SMS nên được giới hạn cho số lượng nhân viên tối thiểu, với 2FA được thực thi nghiêm ngặt.

Ngay cả khi địa chỉ email hoặc mật khẩu bị lừa đảo đánh cắp, tin tặc cũng không thể truy cập tài khoản được bảo vệ bằng 2FA. Nếu mỗi tài khoản có mật khẩu riêng và dùng biệt danh email, tin tặc không thể thử lại mật khẩu trên nhiều dịch vụ hay xây dựng hồ sơ hoạt động cho địa chỉ email đó.

Khi tin tặc không ngừng phát triển các chiến lược tấn công, đừng để chúng có cơ hội hủy hoại danh tiếng và nhắm vào khách hàng của bạn. Hãy sử dụng trình quản lý mật khẩu doanh nghiệp để bảo vệ bạn và khách hàng của bạn.