Kun kiristysviesti saapuu oman sovelluksesi kautta

Lokakuun 6. päivän aamuna ASOS-sovelluksen käyttäjät Isossa-Britanniassa ja useilla muilla markkina-alueilla saivat jälleenmyyjältä push-ilmoituksen. Yleensä sovellus kertoo uusista tuotteista ja alennuskoodeista, mutta tällä kertaa ilmoituksessa luki ”ASOS HAKKEROITU”. Se oli osoitettu yhtiön Data Protection Officer (DPO) -vastaavalle ja IT-tiimille. Ilmoituksessa väitettiin, että hyökkääjät olivat ”murtautuneet Snowflake-instanssiin kokonaan”, ja uhattiin tietojen vuotamisella, ellei ASOS ottaisi yhteyttä Telegram-kanavan kautta.

Tunnin sisällä ASOSin osakkeiden arvo oli laskenut yli 10 %. Hyökkääjät eivät olleet julkaisseet yhtäkään tietuetta.

Mitä tiedämme tähän mennessä

ASOS vahvisti iltapäivällä, että luvaton ilmoitus oli lähetetty ja että yhtiö tutki toimintaa kolmannen osapuolen alustoilla, joita se käyttää asiakkaiden kanssa viestimiseen. Se rajoitti pääsyä näille alustoille ja kertoi, että nimiä ja yhteystietoja on saattanut paljastua. Yhtiö ei usko, että maksukorttitiedot tai tilien salasanat olisivat vaarantuneet.

Lokakuun 8. päivänä yhtiö selitti, miten hyökkääjät pääsivät järjestelmiin. Joku esiintyi luotettuna yhteyshenkilönä ja sai ASOSin työntekijän luovuttamaan työtilinsä kirjautumistiedot. Näiden tietojen avulla hyökkääjät pääsivät asiakkaiden kanssa viestimiseen käytetyille alustoille. ASOS on ilmoittanut asiasta Information Commissioner’s Office -virastolle, joka arvioi tapausta.

​​Väite Snowflaken tietomurrosta on edelleen todistamatta. Snowflake kertoo, että sen tutkinnassa ei havaittu alustaan kohdistunutta tietomurtoa, eikä viestin takana oleva Xuanye Groupiksi itseään kutsuva ryhmä ole julkaissut esimerkkitietoja. Se, ilmestyykö näyterekistereitä lähipäivinä, vaikuttaa merkittävästi siihen, saadaanko asiaan varmuus. Sillä välin Ison-Britannian National Cyber Security Centre (NCSC) on kehottanut ASOSin asiakkaita olettamaan, että he saattavat olla vaikutusten piirissä riippumatta siitä, saivatko he ilmoituksen.​​​ 

Miksi tekoäly nostaa rimaa

​​Tapauksen seuraukset voivat olla vakavammat kuin pelkät perustiedot antavat ymmärtää. Tekoälypohjaista personointia kehittävät jälleenmyyjät kokoavat yhä useammin käyttäytymiseen, ostotapahtumiin ja demografisiin tietoihin liittyvät tiedot yhteen asiakasprofiiliin. ​Näiden profiilien avulla suosituksista tulee osuvampia ja markkinoinnista merkityksellisempää. Hyökkääjien käsissä ne tehostavat vastaavasti petoksia. ​​     ​​ 

​​​​Hyökkääjien ei enää tarvitse kirjoittaa kohdennettuja houkutusviestejä itse. Yli 7 700 osallistujan kenttäkokeessa BIFOLDin ja TU Berlinin tutkijat työskentelivät Inrian ja Ruhr University Bochumin kanssa ja havaitsivat, että personoidun, tekoälyn tuottaman tietojenkalastelun klikkausprosentti oli 2,4-kertainen yleiseen tietojenkalasteluun verrattuna​.​​ 

​​​Myös ASOS-tapauksen keskiössä olleisiin viestintätyökaluihin on kiinnitettävä yhtä paljon huomiota. Asiakassuhteiden hallinta-alustat, jotka segmentoivat asiakkaita, personoivat viestejä ja lähettävät niitä jälleenmyyjän puolesta, sisältävät sekä asiakastiedot että keinot tavoittaa kaikki asiakkaat kerralla. Tämä yhdistelmä tekee niistä itsessään hyökkäysten kohteen. ​​ 

Kiristystä yleisön edessä

Kiristysryhmät ottavat yleensä ensin yksityisesti yhteyttä uhriin. Neuvottelut käydään suljettujen ovien takana, ja yleisö saa tietää tietomurrosta, jos saa, vuotosivuston tai viranomaisilmoituksen kautta.

ASOSin hyökkääjät käänsivät tämän järjestyksen päälaelleen. He kertoivat asiakkaille ensin ja saivat median ja sijoittajat seuraamaan tilannetta ennen kuin ASOS oli vahvistanut mitään. Vaikka ryhmällä ei olisi ollut lainkaan tietoja hallussaan, yksi push-ilmoitus loi ASOSiin kohdistuvaa markkinapainetta ja lyhensi yhtiön aikaa vastata julkisesti. Viivästys herätti asiakkaissa epäilyksiä ja lisäsi ASOSiin kohdistuvaa markkinapainetta.

Viestintäkanavan valinta pahentaa vahinkoa. Asiakkaat sallivat sovellusilmoitukset, koska luottavat lähettäjään. Tietoturvakoulutuksessa opetetaan tarkistamaan lähettäjän osoite tai viemään osoitin linkin päälle, mutta aidon sovelluksen kautta omaan puhelimeen saapuva viesti läpäisee nämä tarkistukset. Jokainen kanavan väärinkäyttö heikentää asiakkaiden luottamusta siihen ja tekee siitä epäluotettavamman jälleenmyyjän lähettämille asiallisille viesteille, myös tuleville tietomurtoilmoituksille.

Mitä tämä merkitsee asiakkaille

Todennäköisin jatkoseuraus on tietojenkalastelu. Rikolliset käyttävät tietomurron saamaa julkisuutta säännöllisesti hyväkseen lähettämällä väärennettyjä hyvitystarjouksia, salasanan palautuspyyntöjä ja tietomurtoilmoituksia muistuttavia sähköposteja, jotka johtavat kirjautumistietoja kalasteleville sivuille. ASOSin asiakkaiden kannattaa suhtautua epäillen kaikkiin odottamattomiin tapausta koskeviin viesteihin, välttää Telegram-linkkiä ja tarkistaa tilinsä avaamalla sovellus tai verkkosivusto suoraan. Uudelleenkäytettyjen salasanojen vaihtaminen ja kaksivaiheisen vahvistuksen käyttöönotto estävät yleisimmät tilikaappausyritykset jo ennen niiden alkamista.

Mitä tämä merkitsee jälleenmyyjille

Hyökkääjät eivät päässeet sisään ASOSin verkkosivuston tai sovelluksen kautta. He käyttivät työntekijän tunnistetietoja sekä niihin yhdistettyjä kolmannen osapuolen työkaluja. Jälleenmyyjän hyökkäyspinta kattaa yritys- ja kehitysverkot, asiakastietoalustat, SaaS-sovellukset, palvelutilit, viestintätyökalut sekä näihin ympäristöihin yhdistetyt palveluntarjoajat. 

Jokainen organisaatio on riippuvainen palveluntarjoajiensa tietoturvakäytännöistä, minkä vuoksi asianmukainen huolellisuus on jatkuva velvollisuus. Jokainen palveluntarjoajaintegraatio voi laajentaa organisaation hyökkäyspintaa ja tuoda mukanaan lisäriskejä, joten jokainen niistä on arvioitava huolellisesti ja tarkastettava säännöllisesti. Riskinarvioinnit on tehtävä palveluntarjoajaa valittaessa ja säännöllisin väliajoin sen jälkeen. Lisäksi on pidettävä selkeää kirjaa siitä, mitkä palveluntarjoajien käyttäjätilit voivat ottaa suoraan yhteyttä asiakkaisiin. Kyse on jatkuvasta työstä, ei kertaluonteisesta hankkeesta. Säännölliset tarkastukset pitävät tilannekuvan ajan tasalla ja auttavat tunnistamaan muutokset, jotka voivat aiheuttaa uusia riskejä. 

Tarkastuksissa on selvitettävä myös, kenellä on pääsy asiakkaiden viestintäkanaviin. Jälleenmyyjien omien sovellusten push-ilmoituspalvelut, tekstiviestien välityspalvelut ja sähköpostialustat voivat tavoittaa miljoonia ihmisiä sekunneissa. Siksi jälleenmyyjien on pidettävä selkeää kirjaa siitä, mitkä palveluntarjoajien käyttäjätilit voivat lähettää viestejä suoraan asiakkaille. Näiden tilien suojaamiseen on käytettävä tietojenkalastelunkestävää MFA-tunnistautumista, ja käytössä on oltava testattu tapa peruuttaa käyttöoikeudet nopeasti. Näiden kanavien hallinta antaa jälleenmyyjille myös luotettavan tavan tavoittaa asiakkaat ja oikaista tiedot, jos jokin menee pieleen.  

Sääntely kulkee samaan suuntaan. EU Cyber Resilience Act on velvoittanut 11. syyskuuta 2026 alkaen digitaalisen elementin sisältävien tuotteiden valmistajat ilmoittamaan ENISAlle ja kansallisille CSIRTeille aktiivisesti hyödynnetyistä haavoittuvuuksista ja vakavista poikkeamista 24 tunnin kuluessa. Tämä vaatimus asettaa nyt jälleenmyyjät vastuuseen toimittamiensa sovellusten turvallisuudesta, mutta näiden sovellusten kautta viestejä lähettävät alustat kuuluvat usein palveluntarjoajille, joita sääntely ei koske. 

​​ASOSille luottamuksen rakentaminen uudelleen tarkoittaa sen osoittamista asiakkaille, että sekä heidän tietonsa että heidän tavoittamiseensa käytettävät kanavat ovat turvassa. Muille jälleenmyyjille tämä on vakava muistutus tarkastella kaikkia palveluntarjoajasuhteitaan, selvittää, mihin kukin palveluntarjoaja pääsee käsiksi, ja varmistaa, että ne pystyvät reagoimaan nopeasti, jos tätä pääsyä käytetään väärin.​