ASOS: hakerzy wysłali klientom powiadomienie „ASOS HACKED” z oficjalnej aplikacji

We wtorek rano użytkownicy aplikacji ASOS, jednego z największych sklepów odzieżowych w Europie, dostali powiadomienie, którego żaden dział marketingu by nie zatwierdził. Nagłówek brzmiał „ASOS HACKED”, a treść była skierowana wprost do inspektora ochrony danych i działu IT firmy: napastnicy twierdzili, że w pełni przejęli firmowe środowisko danych w usłudze Snowflake, i grozili publikacją danych, jeśli firma nie podejmie rozmów. W wiadomości był link do kanału na Telegramie.

Co potwierdziła firma

ASOS przyznał, że nieuprawniony dostęp uzyskano do zewnętrznych platform, przez które firma komunikuje się z klientami, i natychmiast je zablokował. Według firmy mogły wyciec podstawowe dane osobowe, takie jak imiona i nazwiska oraz dane kontaktowe. Firma uważa, że dane kart płatniczych i hasła do kont nie zostały naruszone. Nie podano, ilu klientów dotyczy incydent.

Do ataku przyznała się nieznana wcześniej grupa nazywająca się „Xuanye group”. Twierdzenia o przejęciu środowiska Snowflake nie zostały potwierdzone. Warto zauważyć, że wysłanie powiadomienia wymagało dostępu do systemu powiadomień, a to inne narzędzie niż hurtownia danych.

Dlaczego to ważny sygnał

Napastnicy nie ograniczyli się do wpisu na stronie z wyciekami. Pokazali, że mogą pisać do milionów klientów oficjalnym kanałem firmy. Ten sam dostęp można wykorzystać znacznie groźniej, na przykład do rozesłania wiadomości o „zwrocie pieniędzy” z linkiem do fałszywej strony płatności, wysłanej z prawdziwej aplikacji.

Co sprawdzić w swojej firmie

1. Inwentaryzacja narzędzi komunikacji. Systemy powiadomień, wysyłki e-maili i SMS-ów, platformy marketingowe: kto ma do nich dostęp i czy konta są chronione dwuetapowym logowaniem?
2. Klucze API i tokeny. Dostępy do platform zewnętrznych często mają klucze bez daty ważności, zapisane w kodzie albo w narzędziach CI. Rotuj je i ograniczaj uprawnienia.
3. Zasada „dwóch par oczu” przy masowych wysyłkach do klientów i alert, gdy wiadomość zostaje wysłana poza zaplanowanym harmonogramem.
4. Gotowy komunikat kryzysowy. Klienci zobaczyli „ASOS HACKED” wcześniej niż oficjalne stanowisko firmy. Warto mieć przygotowany szablon i ścieżkę decyzyjną.

Klientom ASOS radzimy szczególną ostrożność wobec wiadomości „od ASOS” w najbliższych tygodniach: nie klikaj linków z prośbą o dopłatę, weryfikację konta czy zwrot pieniędzy. Wejdź do aplikacji samodzielnie.

Źródła: BleepingComputer, Malwarebytes, Computer Weekly