Když výkupné dorazí prostřednictvím vaší vlastní aplikace

Ráno 6. října obdrželi uživatelé aplikace ASOS ve Spojeném království a na několika dalších trzích od prodejce, od kterého běžně dostávají informace o novinkách a slevových kódech, push notifikaci. Stálo v ní „ASOS BYL NAPADEN“. Byla adresována pověřenci společnosti pro ochranu osobních údajů (Data Protection Officer (DPO)) a týmu IT. Útočníci v ní tvrdili, že „plně kompromitovali instanci Snowflake“, a hrozili zveřejněním dat, pokud je ASOS nekontaktuje prostřednictvím kanálu na Telegramu. 

Akcie ASOS během hodiny klesly o více než 10 %. Útočníci nezveřejnili ani jediný záznam. 

Co zatím víme

ASOS potvrdil ještě téhož odpoledne, že byla odeslána neautorizovaná notifikace a že vyšetřuje aktivitu na platformách třetích stran, které používá ke komunikaci se zákazníky. Omezil přístup k těmto platformám a uvedl, že mohlo dojít k odhalení jmen a kontaktních údajů. Nedomnívá se, že byly dotčeny údaje o platebních kartách nebo hesla k účtům. 

Společnost 8. října vysvětlila, jak se útočníci dostali dovnitř. Někdo se vydával za důvěryhodný kontakt a přesvědčil zaměstnance ASOS, aby mu předal přihlašovací údaje ke svému pracovnímu účtu. Tyto údaje útočníkům umožnily přístup k platformám pro komunikaci se zákazníky. ASOS informoval Information Commissioner’s Office, který incident vyšetřuje. 

​​Tvrzení o Snowflake zůstává nepotvrzené. Snowflake uvádí, že při vyšetřování nezjistil žádné narušení své platformy, a skupina stojící za zprávou, která si říká Xuanye Group, nezveřejnila žádná ukázková data. To, zda se v příštích dnech objeví ukázkové záznamy, výrazně přispěje k rozřešení této otázky. Britské Národní centrum pro kybernetickou bezpečnost (National Cyber Security Centre, NCSC) mezitím doporučilo zákazníkům ASOS, aby předpokládali, že mohou být zasaženi, ať už notifikaci obdrželi, nebo ne.​​​ 

Proč AI zvyšuje laťku

​​Dopady tohoto incidentu jsou závažnější, než naznačuje základní soubor dat. Maloobchodníci, kteří zavádějí personalizaci založenou na AI, stále častěji soustřeďují behaviorální, transakční a demografická data do jediného zákaznického profilu. ​Díky těmto profilům jsou doporučení přesnější a marketing relevantnější. V rukou útočníka slouží ke stejnému účelu při podvodech. ​​     ​​ 

​​​​Útočníci už nemusejí sami psát cílené návnady. V terénním experimentu, kterého se zúčastnilo více než 7 700 lidí, výzkumníci z BIFOLD a TU Berlin ve spolupráci s Inria and Ruhr University Bochum zjistili, že personalizovaný phishing vytvořený pomocí AI dosáhl 2,4krát vyšší míry prokliků než obecný phishing​.​​ 

​​​Komunikační nástroje, které stály v centru incidentu ASOS, si zaslouží stejnou pozornost. Platformy pro komunikaci se zákazníky, které jménem maloobchodníka zákazníky segmentují, personalizují obsah a rozesílají zprávy, uchovávají jak zákaznická data, tak prostředky, které umožňují oslovit všechny zákazníky najednou. Díky této kombinaci jsou samy o sobě cílem útoků. ​​ 

Vydírání před zraky veřejnosti

Skupiny vyděračů obvykle začínají soukromou zprávou oběti. Vyjednávání probíhá za zavřenými dveřmi a veřejnost se o narušení bezpečnosti, pokud vůbec, dozvídá prostřednictvím webu s uniklými daty nebo regulatorního oznámení. 

Útočníci v případě ASOS toto pořadí obrátili. Nejprve informovali zákazníky a přizvali média i investory, aby vše sledovali, ještě než ASOS cokoli potvrdil. I kdyby skupina neměla vůbec žádná data, jediná push notifikace vytvořila na ASOS tlak trhu a zkrátila dobu, kterou měl na veřejnou reakci. Toto zpoždění vyvolalo mezi zákazníky pochybnosti a zvýšilo tlak trhu na ASOS. 

Volba komunikačního kanálu škody ještě umocňuje. Zákazníci povolují notifikace aplikace, protože důvěřují odesílateli. Školení o bezpečnostním povědomí učí lidi kontrolovat adresu odesílatele nebo najet kurzorem na odkaz, ale zpráva doručená prostřednictvím skutečné aplikace v jejich vlastním telefonu těmito kontrolami projde. Každé zneužití tohoto kanálu snižuje jeho důvěryhodnost pro legitimní zprávy, které maloobchodník potřebuje odesílat, včetně oznámení o případných budoucích únicích dat. 

Co to znamená pro zákazníky

Nejpravděpodobnějším následkem budou phishingové útoky. Zločinci běžně využívají publicitu kolem úniku dat a rozesílají falešné nabídky vrácení peněz, žádosti o obnovení hesla a e-maily s oznámením o narušení bezpečnosti, které vedou na stránky určené ke krádeži přihlašovacích údajů. Zákazníci ASOS by měli ke všem neočekávaným zprávám o incidentu přistupovat obezřetně, vyhnout se odkazu na Telegram a kontrolovat své účty tak, že aplikaci nebo webové stránky otevřou přímo. Změna opakovaně používaných hesel a zapnutí dvoufázového ověřování zastaví nejběžnější pokusy o převzetí účtu ještě předtím, než začnou. 

Co to znamená pro maloobchodníky

Útočníci se nedostali přes webové stránky ani aplikaci ASOS. Přístup získali prostřednictvím přihlašovacích údajů zaměstnance a nástrojů třetích stran, které s nimi byly propojené. Útočná plocha maloobchodníka zahrnuje firemní a vývojové sítě, platformy zákaznických dat, aplikace SaaS, servisní účty, komunikační nástroje a dodavatele propojené s těmito prostředími. 

Každá organizace závisí na bezpečnostních postupech svých dodavatelů, a proto je průběžná hloubková prověrka jejich postupů trvalou povinností. Každá integrace s dodavatelem může rozšířit útočnou plochu organizace a přinést další rizika, proto je třeba každou z nich pečlivě prověřit a pravidelně kontrolovat. Posouzení rizik je namístě při výběru dodavatele i v pravidelných intervalech poté, zároveň s vedením jasného záznamu o tom, které účty dodavatelů mohou přímo kontaktovat zákazníky. Jde o průběžnou činnost, nikoli jednorázový projekt. Pravidelné kontroly pomáhají udržovat tyto informace aktuální a odhalovat změny, které by mohly přinést nová rizika. 

Tyto kontroly by se měly zabývat také tím, kdo má přístup ke komunikačním kanálům zákazníků. Služby push oznámení prostřednictvím vlastních aplikací, SMS bran a e-mailových platforem mohou během několika sekund oslovit miliony lidí, proto maloobchodníci potřebují jasný přehled o tom, které účty dodavatelů mohou zákazníkům přímo posílat zprávy. Tyto účty by měli zabezpečit vícefaktorovým ověřováním odolným proti phishingu a mít ověřený postup pro rychlé odebrání přístupu. Kontrola nad těmito kanály maloobchodníkům zároveň poskytuje důvěryhodný způsob, jak zákazníky oslovit a uvést věci na pravou míru, když se něco pokazí.  

Regulace se ubírá stejným směrem. Od 11. září 2026 ukládá evropský Akt o kybernetické odolnosti výrobcům produktů s digitálními prvky povinnost nahlásit agentuře ENISA a národním týmům CSIRT aktivně zneužívané zranitelnosti a závažné incidenty do 24 hodin. Tento požadavek nyní činí maloobchodníky odpovědnými za zabezpečení aplikací, které distribuují, ale platformy, přes které se v těchto aplikacích posílají zprávy, často provozují dodavatelé, na něž se regulace nevztahuje. 

​​Pro ASOS obnova důvěry znamená ukázat zákazníkům, že jejich data i kanály, jimiž je společnost oslovuje, jsou zabezpečené. Pro ostatní maloobchodníky je to důrazné varování, aby prověřili své vztahy s dodavateli, zjistili, k čemu má který poskytovatel přístup, a zajistili si možnost rychle reagovat, pokud někdo tento přístup zneužije.​