10月6日（星期二），英國時尚零售商 ASOS 的客戶收到官方應用程式發出的推播通知，標題為「ASOS HACKED」。

內容寫道：「親愛的 Asos DPO 與 IT 部門，我們已完全入侵 Snowflake 執行個體。請與我們聯繫，否則我們將外洩資料。」

透過這則訊息，駭客在網路攻擊的武器庫中拿出了一項新武器：入侵企業帳號，並把勒索要求直接送到客戶面前。如果這類 ASOS 式的攻擊變得司空見慣，任何定期向客戶傳送訊息的企業都會受到影響。透過電子郵件或應用程式內訊息向消費者大量發送訊息，很容易放大來自信任寄件者的網路釣魚攻擊，就像 2020 年透過被入侵的 Twitter 帳號(新視窗)發送的比特幣詐騙一樣。這種做法也會對企業形成支付贖金的壓力，或引發全面混亂，影響企業的獲利底線。

幸運的是，從根本層面來看，無論你是企業還是消費者，你的防範策略其實沒有太大改變。以下是我們目前掌握的資訊。

ASOS 發生了什麼事？

Snowflake 是資料儲存與分析服務，ASOS 將其用作雲端基礎架構。駭客利用社交工程攻擊，取得某位員工在 Simon AI 這個平台的帳號存取權；該平台原生整合於 Snowflake 之中。新聞報導(新視窗)指出，駭客「冒充信任的聯絡人，以取得登入憑證」，藉此騙過該名員工。

（這次事件中 Snowflake 本身並未遭到入侵，但過去曾發生資料外洩(新視窗)。）

接著，他們發動了一場非典型的勒索軟體攻擊，利用 ASOS 應用程式的通知系統，向 ASOS 使用者發送勒索要求。由於這則通知的收件對象是該公司的 DPO（資料保護長）與 IT 部門，看來駭客是刻意公開威脅，以向 ASOS 施壓付款。

同一天，ASOS 在市場公告(新視窗)中表示，正在調查涉及客戶溝通平台的未經授權活動。該公司也通知客戶，其個人資訊（包括姓名與聯絡詳細資訊）可能已遭存取，但密碼與付款詳細資料似乎未受影響。

然而，接下來幾天證實(新視窗)，駭客確實蒐集了可能多達數百萬名客戶的資料。駭客聯繫 BBC(新視窗)，並提供一筆遭竊資料的範例：姓名、地址、電話號碼、電子郵件、客戶編號與出生日期。

ASOS 客戶該怎麼做？

由於駭客取得了個人資訊，他們現在能對 ASOS 客戶發動更有效的網路釣魚攻擊。

如果你是 Asos 客戶：

  • 為你的 ASOS 帳號建立一組新的高強度密碼。
  • 如果有人自稱來自 ASOS，表示需要更多資訊或說你的帳號已被鎖定，請不要與對方往來。請透過 ASOS 的官方客戶服務管道(新視窗)，回報這通電話、電子郵件或簡訊。
  • 如果你收到其他零售商或陌生人的可疑電子郵件，向你索取更多資訊或要求你點擊連結，請不要點擊，也不要與對方往來。請務必直接前往該公司的網站或應用程式登入，不要透過收到的不明連結登入。

造成了什麼影響？

ASOS 的品牌聲譽也受到重大打擊。不僅客戶資料遭竊，攻擊更是即時直接向客戶宣告：ASOS 根本來不及控制攻擊，就得先通知客戶與監管機關發生資料外洩。

攻擊發生後，ASOS 的股價一度下跌達 11%(新視窗)，因為憂心的客戶在社群媒體上發文討論。相較於直接向企業發出的典型勒索攻擊，這則直接通知引發的焦慮與急迫感明顯高出許多。由於攻擊目標是使用者，駭客造成的混亂更大，因為當時無法確定威脅的範圍有多廣。

企業必須意識到，未來用來與客戶溝通的平台，很可能更常成為駭客的目標。一旦駭客能直接接觸你的客戶，你立刻就會失去應變的主導權，客戶對品牌的信心也將徹底瓦解。

企業該如何避免這類攻擊？

駭客冒充 ASOS 信任的聯絡人，取得了 Snowflake 帳號的存取權，這是典型的網路釣魚手法。我們已詳細說明如何保護企業免受網路釣魚攻擊，但你的企業能做的最重要行動之一，就是為所有可存取敏感客戶資料的帳號啟用雙重身分驗證 (2FA)。

啟用 2FA

啟用 2FA 能為帳號多加一層防護，讓駭客更難入侵。為每個帳號搭配一組高強度且獨一無二的密碼，是保護企業免受網路釣魚攻擊既有效又簡單的方法。

集中管理密碼

採用內建 2FA 驗證器、電子郵件別名與安全共享功能的企業密碼管理程式，可協助你的企業防範 ASOS 所遭遇的這類攻擊。將登入資訊保存在端對端加密的密碼管理程式中，由它安全地產生、儲存與自動填入密碼，能讓團隊成員安全工作，並保護他們需要存取的敏感資料。

強化通訊頻道

資安稽核通常從付款系統、核心資料庫或客戶關係管理等關鍵系統著手。但 ASOS 遭駭的事件顯示，通訊頻道是必須嚴加管制的危險攻擊途徑。社群媒體帳號、應用程式內通知平台、Mailchimp 這類電子郵件平台，以及簡訊平台，都應限制在最少數量的員工可存取，並嚴格強制使用 2FA。

即使電子郵件地址或密碼遭網路釣魚竊取，駭客也無法存取受 2FA 保護的帳號。如果每個帳號都有獨一無二的密碼並使用電子郵件別名，駭客就無法在多個服務間重複嘗試密碼，也無法為該電子郵件地址建立活動輪廓。

當駭客不斷演進攻擊手法，別給他們機會破壞你的聲譽、鎖定你的客戶。採用企業密碼管理程式，保障你和客戶的安全。