10 月 6 日星期二，英国时尚零售商 ASOS 的客户从官方应用收到了一条标题为“ASOS HACKED”的推送通知。

上面写着：“尊敬的 Asos 数据保护官和 IT 部门：我们已完全攻陷 Snowflake 实例。与我们交涉，否则我们就将其泄露。”

借助这条消息，黑客在网络攻击的武器库中释放出一件新武器：入侵企业帐户，并直接向客户提出勒索要求。如果这类 ASOS 式攻击变得司空见惯，那么任何定期向客户发送消息的企业都会受到影响。通过电子邮件或应用内消息向消费者群发消息，是放大来自已信任发件人的网络钓鱼攻击的简便方式，类似于 2020 年通过被入侵的 Twitter 帐户（新窗口）发送的比特币骗局。它还可能给企业施加支付赎金的压力，或引发影响企业盈利的普遍混乱。

幸运的是，从根本上说，无论你是企业还是消费者，你的防范策略并没有太大变化。以下是我们目前了解的情况。

ASOS 发生了什么？

Snowflake 是 ASOS 用作云基础设施的一种数据存储与分析服务。黑客利用社会工程攻击，获取了某位员工在名为 Simon AI 的平台上的帐户访问权限，该平台原生集成于 Snowflake。新闻报道（新窗口）称，黑客通过“冒充已信任联系人以获取登录凭证”的方式欺骗了该员工。

（此次事件中 Snowflake 本身并未被攻陷，但此前它曾遭到入侵（新窗口）。）

随后，他们发动了一场非正统的勒索软件攻击，利用 ASOS 应用的通知系统，向 ASOS 用户发送了一条勒索要求。由于该通知是发给公司数据保护官（DPO）和 IT 部门的，因此黑客似乎是在公开威胁，以向 ASOS 施压，迫使其付款。

当天，ASOS 在一份市场公告（新窗口）中表示，正在调查涉及用于与客户沟通的平台的未经授权活动。它还通知客户，其个人信息（包括姓名和联系人详情）可能已被访问，但密码和付款详情似乎未受影响。

然而，在接下来的几天里，事实证明（新窗口），黑客确实收集了可能多达数百万客户的数据。黑客联系了 BBC（新窗口），并提供了被盗数据的示例：姓名、地址、电话号码、电子邮件、客户编号和出生日期。

ASOS 客户应该怎么做？

由于黑客获取了个人信息，他们现在可以针对 ASOS 客户发动有效得多的网络钓鱼攻击。

如果你是 Asos 客户：

  • 为你的 ASOS 帐户创建一个新的强密码。
  • 如果有人自称来自 ASOS，联系你并声称需要更多信息，或说你的帐户已被锁定，请不要理会他们。请通过 ASOS 的官方客户服务频道（新窗口）告知相关来电、电子邮件或短信。
  • 如果你收到来自其他零售商或陌生人的任何异常电子邮件，向你索要更多信息，或让你点击某个链接，请不要点击或理会。请始终直接访问公司的网站或应用进行登录，而不要通过你收到的意外链接登录。

影响是什么？

ASOS 的品牌声誉也受到了重大影响。不仅客户数据被盗，而且这次攻击还是实时直接向客户公布的：ASOS 尚未有时间控制住攻击，就不得不向客户和监管机构通报数据泄露。

攻击发生后，随着忧心忡忡的客户在社交媒体上发帖讨论，ASOS 的股价一度下跌多达 11%（新窗口）。与直接针对企业的标准勒索攻击相比，这条直接通知引发了更多的焦虑和紧迫感。通过针对用户，黑客制造了更大的混乱，因为人们并不清楚威胁的范围有多广。

企业需要意识到，他们用于与客户沟通的平台未来很可能会更多地成为黑客的目标。如果黑客能够直接找上你的客户，你会立即失去对应对措施的控制，客户对你品牌的信心也会被彻底击碎。

企业如何避免此类攻击？

黑客通过冒充已信任的 ASOS 联系人，获取了 Snowflake 帐户的访问权限，这是网络钓鱼的一个典型例子。我们已经撰写了大量关于如何保护你的企业免受网络钓鱼侵害的内容，但你的企业可以采取的最重要措施之一，就是为所有有权访问敏感客户数据的帐户启用双因素身份验证（2FA）。

开启双重验证

通过启用双重验证，你为帐户增加了一层黑客更难攻破的保护。将双重验证与每个帐户独有的强密码结合使用，是保护企业免受网络钓鱼攻击的有效而简单的解决方案。

集中管理密码

采用一款企业密码管理器，内置双重验证器、电子邮件别名和安全共享功能，可以帮助你的企业防范针对 ASOS 的那类攻击。在端到端加密的密码管理器中保护登录信息，可安全地生成、存储和自动填充密码，帮助团队成员安全地工作，并保护他们需要访问的敏感数据。

加固通信频道

安全审计通常从支付系统、核心数据库或客户关系管理系统等关键系统入手。但 ASOS 遭到的攻击表明，通信频道是需要严格管控的危险载体。社交媒体帐户、应用内通知平台、Mailchimp 等电子邮件平台以及短信平台都应限制为最少数的员工使用，并严格执行双重验证。

即使电子邮件地址或密码被网络钓鱼窃取，黑客也无法访问受双重验证保护的帐户。如果每个帐户都使用独有的密码和电子邮件别名，黑客就无法跨多个服务重试密码，也无法为该电子邮件地址建立活动画像。

随着黑客不断演进其攻击策略，切勿给他们损害你的声誉、针对你的客户的可乘之机。采用一款能保护你和客户安全的企业密码管理器吧。