Όταν το σημείωμα εκβιασμού φτάνει μέσω της δικής σας εφαρμογής

Το πρωί της 6ης Οκτωβρίου, χρήστες της εφαρμογής ASOS στο Ηνωμένο Βασίλειο και σε αρκετές άλλες αγορές έλαβαν μια ειδοποίηση push από τον λιανοπωλητή που συνήθως τους ενημερώνει για νέες αφίξεις και εκπτωτικούς κωδικούς. Αυτή τη φορά, το μήνυμα έγραφε «ASOS HACKED». Απευθυνόταν στον υπεύθυνο προστασίας δεδομένων της εταιρείας (Data Protection Officer, DPO) και στην ομάδα πληροφορικής, ισχυριζόταν ότι οι δράστες είχαν «παραβιάσει πλήρως την παρουσία της Snowflake» και απειλούσε ότι θα διέρρεαν δεδομένα αν η ASOS δεν επικοινωνούσε μαζί τους μέσω ενός καναλιού στο Telegram. 

Μέσα σε μία ώρα, οι μετοχές της ASOS είχαν υποχωρήσει πάνω από 10%. Οι δράστες δεν είχαν δημοσιοποιήσει ούτε ένα αρχείο. 

Τι γνωρίζουμε μέχρι στιγμής

Εκείνο το απόγευμα, η ASOS επιβεβαίωσε ότι είχε σταλεί μια μη εξουσιοδοτημένη ειδοποίηση και ότι διερευνούσε δραστηριότητα σε πλατφόρμες τρίτων που χρησιμοποιεί για να επικοινωνεί με τους πελάτες της. Περιόρισε την πρόσβαση σε αυτές τις πλατφόρμες και δήλωσε ότι ενδέχεται να είχαν εκτεθεί ονόματα και στοιχεία επικοινωνίας. Δεν θεωρεί ότι επηρεάστηκαν δεδομένα καρτών πληρωμής ή κωδικοί πρόσβασης λογαριασμών. 

Στις 8 Οκτωβρίου, η εταιρεία εξήγησε πώς εισέβαλαν οι δράστες. Κάποιος προσποιήθηκε ότι ήταν έμπιστη επαφή και έπεισε έναν υπάλληλο της ASOS να παραδώσει τα στοιχεία σύνδεσης του επαγγελματικού του λογαριασμού. Αυτά τα στοιχεία έδωσαν στους δράστες πρόσβαση στις πλατφόρμες επικοινωνίας με τους πελάτες. Η ASOS έχει ενημερώσει το Information Commissioner’s Office, το οποίο αξιολογεί το περιστατικό. 

​​Ο ισχυρισμός περί παραβίασης της Snowflake παραμένει αναπόδεικτος. Η Snowflake αναφέρει ότι η έρευνά της δεν εντόπισε παραβίαση της πλατφόρμας της, ενώ η ομάδα πίσω από το μήνυμα, που αυτοαποκαλείται Xuanye Group, δεν έχει δημοσιοποιήσει δείγμα δεδομένων. Το αν θα εμφανιστούν δείγματα εγγραφών τις επόμενες ημέρες θα συμβάλει καθοριστικά στη διαλεύκανση της υπόθεσης. Στο μεταξύ, το Εθνικό Κέντρο Κυβερνοασφάλειας του Ηνωμένου Βασιλείου (NCSC) έχει συμβουλεύσει τους πελάτες της ASOS να θεωρήσουν ότι ενδέχεται να έχουν επηρεαστεί, είτε έλαβαν την ειδοποίηση είτε όχι.​​​ 

Γιατί η τεχνητή νοημοσύνη ανεβάζει τον πήχη

​​Οι επιπτώσεις του περιστατικού είναι σοβαρότερες απ’ όσο υποδηλώνει το βασικό σύνολο δεδομένων. Οι λιανοπωλητές που αναπτύσσουν εξατομίκευση με τεχνητή νοημοσύνη συγκεντρώνουν όλο και περισσότερο σε ένα ενιαίο προφίλ πελάτη δεδομένα συμπεριφοράς, συναλλαγών και δημογραφικά στοιχεία. ​Αυτά τα προφίλ κάνουν τις προτάσεις πιο εύστοχες και το μάρκετινγκ πιο συναφές. Στα χέρια ενός δράστη, επιτυγχάνουν το ίδιο και για την απάτη. ​​     ​​ 

​​​​Οι δράστες δεν χρειάζεται πλέον να συντάσσουν οι ίδιοι εξατομικευμένα δολώματα. Σε ένα επιτόπιο πείραμα με περισσότερους από 7.700 συμμετέχοντες, ερευνητές από τα BIFOLD και TU Berlin, σε συνεργασία με τα Inria and Ruhr University Bochum, διαπίστωσαν ότι τα εξατομικευμένα μηνύματα ηλεκτρονικού «ψαρέματος» που δημιουργήθηκαν με τεχνητή νοημοσύνη είχαν ποσοστό κλικ 2,4 φορές υψηλότερο από εκείνο των γενικών μηνυμάτων ηλεκτρονικού «ψαρέματος»​.​​ 

​​​Τα εργαλεία επικοινωνίας που βρίσκονται στο επίκεντρο του περιστατικού της ASOS χρήζουν αντίστοιχης προσοχής. Οι πλατφόρμες αλληλεπίδρασης με πελάτες, οι οποίες τμηματοποιούν το κοινό, εξατομικεύουν το περιεχόμενο και στέλνουν μηνύματα για λογαριασμό ενός λιανοπωλητή, διαθέτουν τόσο τα δεδομένα των πελατών όσο και τα μέσα για να προσεγγίσουν όλους τους πελάτες ταυτόχρονα. Αυτός ο συνδυασμός τις καθιστά στόχο από μόνες τους. ​​ 

Εκβιασμός με κοινό

Οι ομάδες εκβιαστών συνήθως ξεκινούν στέλνοντας ιδιωτικό μήνυμα στο θύμα. Οι διαπραγματεύσεις γίνονται κεκλεισμένων των θυρών, ενώ το κοινό μαθαίνει για μια παραβίαση, αν τη μάθει καθόλου, μέσω ιστοτόπου διαρροών ή κανονιστικής γνωστοποίησης. 

Οι δράστες της επίθεσης στην ASOS αντέστρεψαν αυτή τη σειρά. Ενημέρωσαν πρώτα τους πελάτες και έφεραν τα μέσα ενημέρωσης και τους επενδυτές να παρακολουθούν, προτού η ASOS επιβεβαιώσει οτιδήποτε. Ακόμη κι αν η ομάδα δεν είχε καθόλου δεδομένα, μία ειδοποίηση push άσκησε πίεση στην ASOS από την αγορά και περιόρισε τον χρόνο που είχε για να απαντήσει δημόσια. Αυτή η καθυστέρηση προκάλεσε αμφιβολίες στους πελάτες και άσκησε πίεση στην ASOS από την αγορά. 

Η επιλογή του καναλιού επιτείνει τη ζημιά. Οι πελάτες επιλέγουν να λαμβάνουν ειδοποιήσεις από εφαρμογές επειδή εμπιστεύονται τον αποστολέα. Η εκπαίδευση ευαισθητοποίησης για την ασφάλεια διδάσκει στους ανθρώπους να ελέγχουν τη διεύθυνση του αποστολέα ή να περνούν τον δείκτη του ποντικιού πάνω από έναν σύνδεσμο, αλλά ένα μήνυμα που παραδίδεται μέσω της αυθεντικής εφαρμογής στο δικό τους τηλέφωνο περνά αυτούς τους ελέγχους. Κάθε κατάχρηση αυτού του καναλιού το καθιστά λιγότερο αξιόπιστο για τα νόμιμα μηνύματα που χρειάζεται να στέλνει ένας λιανοπωλητής, συμπεριλαμβανομένων μελλοντικών ειδοποιήσεων για παραβιάσεις. 

Τι σημαίνει αυτό για τους πελάτες

Η πιθανότερη εξέλιξη είναι οι επιθέσεις ηλεκτρονικού «ψαρέματος». Οι εγκληματίες εκμεταλλεύονται συστηματικά τη δημοσιότητα γύρω από μια παραβίαση στέλνοντας πλαστές προσφορές επιστροφής χρημάτων, αιτήματα επαναφοράς κωδικού πρόσβασης και μηνύματα ηλεκτρονικού ταχυδρομείου που υποτίθεται ότι ενημερώνουν για την παραβίαση, αλλά οδηγούν σε σελίδες υποκλοπής στοιχείων σύνδεσης. Οι πελάτες της ASOS θα πρέπει να αντιμετωπίζουν με καχυποψία κάθε απρόσμενο μήνυμα σχετικά με το περιστατικό, να αποφεύγουν τον σύνδεσμο του Telegram και να ελέγχουν τους λογαριασμούς τους ανοίγοντας απευθείας την εφαρμογή ή τον ιστότοπο. Η αλλαγή κωδικών πρόσβασης που χρησιμοποιούνται ξανά και η ενεργοποίηση της επαλήθευσης σε δύο βήματα θα αποτρέψουν τις συνηθέστερες απόπειρες κατάληψης λογαριασμών πριν καν ξεκινήσουν. 

Τι σημαίνει αυτό για τους λιανοπωλητές

Οι επιτιθέμενοι δεν εισήλθαν μέσω του ιστότοπου ή της εφαρμογής της ASOS. Χρησιμοποίησαν τα διαπιστευτήρια ενός εργαζομένου και τα εργαλεία τρίτων που ήταν συνδεδεμένα με αυτά. Η επιφάνεια επίθεσης ενός λιανοπωλητή περιλαμβάνει εταιρικά δίκτυα και δίκτυα ανάπτυξης, πλατφόρμες δεδομένων πελατών, εφαρμογές SaaS, λογαριασμούς υπηρεσιών, εργαλεία επικοινωνίας και τους προμηθευτές που είναι συνδεδεμένοι με αυτά τα περιβάλλοντα. 

Κάθε οργανισμός βασίζεται στις πρακτικές ασφάλειας των προμηθευτών του, γεγονός που καθιστά τον συνεχή έλεγχο δέουσας επιμέλειας διαρκή υποχρέωση. Κάθε ενσωμάτωση προμηθευτή μπορεί να διευρύνει την επιφάνεια επίθεσης ενός οργανισμού και να δημιουργήσει πρόσθετους κινδύνους, γι’ αυτό χρειάζεται προσεκτικό έλεγχο και τακτική επανεξέταση. Οι αξιολογήσεις κινδύνου πρέπει να γίνονται κατά την επιλογή του προμηθευτή και σε τακτά χρονικά διαστήματα στη συνέχεια, μαζί με την τήρηση σαφούς αρχείου για τους λογαριασμούς προμηθευτών που μπορούν να επικοινωνούν απευθείας με πελάτες. Πρόκειται για συνεχή προσπάθεια, όχι για έργο που γίνεται μία φορά. Οι τακτικές επανεξετάσεις συμβάλλουν στην επικαιροποίηση αυτής της εικόνας και στον εντοπισμό αλλαγών που θα μπορούσαν να δημιουργήσουν νέους κινδύνους. 

Οι επανεξετάσεις αυτές θα πρέπει επίσης να καλύπτουν ποιοι έχουν πρόσβαση στα κανάλια επικοινωνίας με τους πελάτες. Οι υπηρεσίες ειδοποιήσεων push μέσω εφαρμογών που ανήκουν στην επιχείρηση, οι πύλες SMS και οι πλατφόρμες ηλεκτρονικού ταχυδρομείου μπορούν να προσεγγίσουν εκατομμύρια ανθρώπους μέσα σε λίγα δευτερόλεπτα, επομένως οι λιανοπωλητές χρειάζονται σαφές αρχείο των λογαριασμών προμηθευτών που μπορούν να στέλνουν μηνύματα απευθείας στους πελάτες. Θα πρέπει να προστατεύουν αυτούς τους λογαριασμούς με MFA ανθεκτικό στο ηλεκτρονικό ψάρεμα και να διαθέτουν δοκιμασμένη διαδικασία για την άμεση ανάκληση της πρόσβασης. Ο έλεγχος αυτών των καναλιών παρέχει επίσης στους λιανοπωλητές έναν αξιόπιστο τρόπο να επικοινωνούν με τους πελάτες και να αποκαθιστούν την αλήθεια όταν κάτι πάει στραβά.  

Η νομοθεσία κινείται προς την ίδια κατεύθυνση. Από τις 11 Σεπτεμβρίου 2026, η Πράξη της ΕΕ για την Κυβερνοανθεκτικότητα υποχρεώνει τους κατασκευαστές προϊόντων με ψηφιακά στοιχεία να αναφέρουν στην ENISA και στις εθνικές ομάδες CSIRT, εντός 24 ωρών, ευπάθειες που αποτελούν αντικείμενο ενεργού εκμετάλλευσης και σοβαρά περιστατικά. Η απαίτηση αυτή καθιστά πλέον τους λιανοπωλητές υπεύθυνους για την ασφάλεια των εφαρμογών που διαθέτουν, όμως οι πλατφόρμες που στέλνουν μηνύματα μέσω αυτών των εφαρμογών συχνά ανήκουν σε προμηθευτές τους οποίους δεν καλύπτει η νομοθεσία. 

​​Για την ASOS, η αποκατάσταση της εμπιστοσύνης σημαίνει να δείξει στους πελάτες ότι τόσο τα δεδομένα τους όσο και τα κανάλια που χρησιμοποιούνται για την επικοινωνία μαζί τους είναι ασφαλή. Για τους υπόλοιπους λιανοπωλητές, αυτό αποτελεί σαφή προειδοποίηση να εξετάσουν τις σχέσεις τους με τους προμηθευτές, να κατανοήσουν σε τι μπορεί να έχει πρόσβαση κάθε πάροχος και να διασφαλίσουν ότι μπορούν να αντιδράσουν γρήγορα σε περίπτωση κατάχρησης αυτής της πρόσβασης.​