Når afpresningsbeskeden dukker op i din egen app

Om morgenen den 6. oktober modtog brugere af ASOS-appen i Storbritannien og flere andre markeder en pushmeddelelse fra den forhandler, de normalt hører fra om nye varer og rabatkoder. Denne lød: »ASOS HACKET«. Den var adresseret til virksomhedens databeskyttelsesrådgiver (DPO) og it-team og hævdede, at angriberne havde »fuldstændig kompromitteret Snowflake-instansen«, og truede med at lække data, medmindre ASOS tog kontakt via en Telegram-kanal. 

Inden for en time var ASOS’ aktier faldet med mere end 10 %. Angriberne havde ikke offentliggjort en eneste post. 

Hvad vi ved indtil videre

ASOS bekræftede samme eftermiddag, at der var blevet sendt en uautoriseret meddelelse, og at virksomheden undersøgte aktivitet på de tredjepartsplatforme, den bruger til at kommunikere med kunder. Den begrænsede adgangen til disse platforme og oplyste, at navne og kontaktoplysninger muligvis var blevet eksponeret. Virksomheden mener ikke, at betalingskortoplysninger eller adgangskoder til konti er blevet berørt. 

Den 8. oktober forklarede virksomheden, hvordan angriberne var kommet ind. En person udgav sig for at være en betroet kontakt og overtalte en ASOS-medarbejder til at udlevere loginoplysningerne til sin arbejdskonto. Disse oplysninger gav angriberne adgang til kundekommunikationsplatformene. ASOS har underrettet Information Commissioner’s Office, som vurderer hændelsen. 

​​Påstanden om Snowflake er fortsat ikke bevist. Snowflake oplyser, at virksomhedens undersøgelse ikke fandt tegn på, at platformen var blevet kompromitteret, og gruppen bag meddelelsen, som kalder sig Xuanye Group, har ikke offentliggjort nogen eksempeldata. Om der dukker eksempeldata op i de kommende dage, vil i høj grad være med til at afklare spørgsmålet. I mellemtiden har Storbritanniens National Cyber Security Centre (NCSC) rådet ASOS’ kunder til at gå ud fra, at de kan være berørt, uanset om de modtog meddelelsen eller ej.​​​ 

Hvorfor AI skærper kravene

​​Konsekvenserne af hændelsen er mere alvorlige, end de grundlæggende data antyder. Forhandlere, der udvikler AI-drevet personalisering, samler i stigende grad adfærds-, transaktions- og demografiske data i én enkelt kundeprofil. ​Profilerne gør anbefalingerne mere præcise og markedsføringen mere relevant. I hænderne på en angriber kan de på samme måde målrette svindel. ​​     ​​ 

​​​​Angribere behøver ikke længere selv at skrive målrettede lokkemidler. I et felteksperiment med mere end 7.700 deltagere fandt forskere fra BIFOLD og TU Berlin, der arbejdede sammen med Inria og Ruhr University Bochum, at personliggjort, AI-genereret phishing opnåede en klikrate, der var 2,4 gange så høj som generisk phishing​.​​ 

​​​Kommunikationsværktøjerne i centrum for ASOS-hændelsen fortjener samme opmærksomhed. Platforme til kundeengagement, der segmenterer, personaliserer og sender beskeder på en forhandlers vegne, rummer både kundedataene og muligheden for at nå alle kunder på én gang. Den kombination gør dem til et mål i sig selv. ​​ 

Afpresning med et publikum

Afpresningsgrupper indleder som regel med en privat besked til offeret. Forhandlingerne foregår bag lukkede døre, og offentligheden hører kun om et databrud, hvis den overhovedet gør det, via et læksted eller en indberetning til myndighederne. 

Angriberne bag ASOS vendte om på rækkefølgen. De fortalte det først til kunderne og trak medierne og investorerne til som tilskuere, før ASOS havde bekræftet noget som helst. Selv hvis gruppen slet ikke havde nogen data, skabte en enkelt pushmeddelelse markedspres på ASOS og forkortede virksomhedens tid til at reagere offentligt. Forsinkelsen skabte tvivl blandt kunderne og markedspres for ASOS. 

Valget af kanal forstærker skaden. Kunder tilvælger appnotifikationer, fordi de har tillid til afsenderen. Sikkerhedsbevidsthedstræning lærer folk at kontrollere afsenderadressen eller holde markøren over et link, men en besked, der leveres via den ægte app på deres egen telefon, består disse kontroller. Hver gang kanalen misbruges, bliver den mindre pålidelig til de legitime beskeder, en forhandler har brug for at sende, herunder fremtidige meddelelser om databrud. 

Hvad det betyder for kunderne

Det mest sandsynlige næste skridt er phishing. Kriminelle udnytter rutinemæssigt omtalen af et databrud ved at sende falske tilbud om refusion, anmodninger om nulstilling af adgangskoder og e-mails med meddelelser om databrud, der fører til sider, som indsamler loginoplysninger. ASOS-kunder bør være på vagt over for uventede beskeder om hændelsen, undgå Telegram-linket og kontrollere deres konti ved at åbne appen eller webstedet direkte. Hvis man ændrer genbrugte adgangskoder og aktiverer totrinsbekræftelse, kan man standse de mest almindelige forsøg på kontoovertagelse, før de begynder. 

Hvad det betyder for forhandlere

Angriberne kom ikke via ASOS’ website eller app. De kom ind ved hjælp af en medarbejders loginoplysninger og de tredjepartsværktøjer, der var knyttet til dem. En detailhandlers angrebsflade omfatter virksomheds- og udviklingsnetværk, kundedataplatforme, SaaS-applikationer, servicekonti, kommunikationsværktøjer og de leverandører, der er forbundet med disse miljøer. 

Alle organisationer er afhængige af deres leverandørers sikkerhedspraksis, hvilket gør grundig due diligence til en løbende forpligtelse. Hver leverandørintegration kan udvide en organisations angrebsflade og introducere yderligere risici, så hver enkelt skal undersøges grundigt og gennemgås regelmæssigt. Risikovurderinger bør foretages, når en leverandør vælges, og med jævne mellemrum derefter, sammen med en tydelig oversigt over, hvilke leverandørkonti der kan nå kunderne direkte. Det er en løbende indsats, ikke et engangsprojekt. Regelmæssige gennemgange hjælper med at holde overblikket opdateret og identificere ændringer, der kan medføre nye risici. 

Disse gennemgange bør også omfatte, hvem der har adgang til kommunikationskanalerne til kunderne. Pushnotifikationstjenester via egne apps, SMS-gateways og e-mailplatforme kan nå millioner af mennesker på få sekunder, så detailhandlere har brug for en tydelig oversigt over, hvilke leverandørkonti der kan sende beskeder direkte til kunderne. De bør beskytte disse konti med phishing-resistent MFA og have en afprøvet procedure for hurtigt at tilbagekalde adgangen. Kontrol over disse kanaler giver også detailhandlere en pålidelig måde at nå kunderne på og rette op på misforståelser, når noget går galt.  

Reguleringen trækker i samme retning. Siden den 11. september 2026 har EU’s forordning om cyberrobusthed pålagt producenter af produkter med digitale elementer at indberette aktivt udnyttede sårbarheder og alvorlige hændelser til ENISA og nationale CSIRT’er inden for 24 timer. Dette krav gør nu detailhandlere ansvarlige for sikkerheden i de apps, de udgiver, men de platforme, der sender beskeder gennem disse apps, ligger ofte hos leverandører, som reguleringen ikke omfatter. 

​​For ASOS handler det at genopbygge tilliden om at vise kunderne, at både deres data og de kanaler, der bruges til at nå dem, er sikre. For andre detailhandlere er det en alvorlig påmindelse om at se på tværs af deres leverandørrelationer, forstå, hvad de enkelte udbydere har adgang til, og sikre sig, at de kan reagere hurtigt, hvis adgangen misbruges.​