जब फिरौती का संदेश आपके अपने ऐप के ज़रिए आए

6 अक्टूबर की सुबह, ब्रिटेन और कई अन्य बाज़ारों में ASOS ऐप के उपयोगकर्ताओं को उस रिटेलर की ओर से एक पुश सूचना मिली, जिसके संदेशों में उन्हें आम तौर पर नए उत्पादों और छूट के कूपन की जानकारी मिलती है। इस बार संदेश में लिखा था, “ASOS हैक हो गया है।” यह कंपनी के Data Protection Officer (DPO) और आईटी टीम को संबोधित था। इसमें दावा किया गया था कि हमलावरों ने “Snowflake इंस्टेंस पर पूरी तरह कब्ज़ा कर लिया है” और धमकी दी गई थी कि अगर ASOS ने Telegram चैनल के ज़रिए संपर्क नहीं किया, तो डेटा लीक कर दिया जाएगा। 

एक घंटे के भीतर, ASOS के शेयर 10% से अधिक गिर गए। हमलावरों ने एक भी रिकॉर्ड प्रकाशित नहीं किया था। 

अब तक हमें क्या पता है

ASOS ने पुष्टि की कि उस दोपहर एक अनधिकृत सूचना भेजी गई थी और वह उन तृतीय-पक्ष प्लेटफ़ॉर्मों पर गतिविधि की जाँच कर रहा था जिनका इस्तेमाल वह ग्राहकों से संवाद करने के लिए करता है। उसने उन प्लेटफ़ॉर्मों तक पहुँच सीमित कर दी और कहा कि नाम तथा संपर्क विवरण उजागर हुए हो सकते हैं। कंपनी का मानना है कि भुगतान कार्ड का डेटा या खातों के पासवर्ड प्रभावित नहीं हुए। 

8 अक्टूबर को, कंपनी ने बताया कि हमलावरों ने सिस्टम में सेंध कैसे लगाई। किसी ने भरोसेमंद संपर्क होने का नाटक किया और ASOS के एक कर्मचारी को उसके कार्य खाते के लॉगिन प्रमाण सौंपने के लिए मना लिया। उन प्रमाणों से हमलावरों को ग्राहक-संचार प्लेटफ़ॉर्मों तक पहुँच मिल गई। ASOS ने Information Commissioner’s Office को इसकी सूचना दे दी है, जो इस घटना का आकलन कर रहा है। 

​​Snowflake से जुड़ा दावा अब भी अप्रमाणित है। Snowflake का कहना है कि उसकी जाँच में उसके प्लेटफ़ॉर्म पर किसी सेंध का पता नहीं चला, और संदेश के पीछे मौजूद समूह, जो खुद को Xuanye Group कहता है, ने कोई नमूना डेटा जारी नहीं किया है। आने वाले दिनों में नमूना रिकॉर्ड सामने आते हैं या नहीं, इससे इस सवाल का जवाब तय करने में काफ़ी मदद मिलेगी। इस बीच, ब्रिटेन के National Cyber Security Centre (NCSC) ने ASOS ग्राहकों को सलाह दी है कि वे मानकर चलें कि वे प्रभावित हो सकते हैं, चाहे उन्हें यह सूचना मिली हो या नहीं।​​​ 

AI से जोखिम का स्तर क्यों बढ़ता है

​​इस घटना के दाँव-पेच, बुनियादी डेटासेट से जितने स्पष्ट होते हैं, उससे कहीं अधिक गंभीर हैं। AI-आधारित वैयक्तिकरण विकसित कर रहे रिटेलर व्यवहार, लेन-देन और जनसांख्यिकी से जुड़े डेटा को एक ही ग्राहक प्रोफ़ाइल में तेज़ी से समेट रहे हैं। ​इन प्रोफ़ाइलों से सुझाव अधिक सटीक और मार्केटिंग अधिक प्रासंगिक बनती है। लेकिन हमलावरों के हाथों में यही डेटा धोखाधड़ी को भी अधिक कारगर बनाता है। ​​     ​​ 

​​​​अब हमलावरों को हर व्यक्ति के लिए अलग फ़िशिंग संदेश खुद लिखने की ज़रूरत नहीं है। 7,700 से अधिक प्रतिभागियों के साथ किए गए एक क्षेत्रीय प्रयोग में, BIFOLD और TU Berlin के शोधकर्ताओं ने Inria और Ruhr University Bochum के साथ मिलकर पाया कि व्यक्तिगत जानकारी के आधार पर AI से तैयार किए गए फ़िशिंग संदेशों पर क्लिक की दर, सामान्य फ़िशिंग संदेशों की तुलना में 2.4 गुना थी​।​​ 

​​​ASOS की घटना के केंद्र में मौजूद संवाद उपकरणों पर भी उतना ही ध्यान देना ज़रूरी है। ग्राहक-सहभागिता प्लेटफ़ॉर्म ग्राहकों को अलग-अलग समूहों में बाँटते हैं, उनके अनुसार संदेशों को वैयक्तिकृत करते हैं और रिटेलर की ओर से संदेश भेजते हैं। इनके पास ग्राहकों का डेटा भी होता है और एक ही समय में हर ग्राहक तक पहुँचने का साधन भी। इस मेल के कारण वे खुद भी हमले का निशाना बन जाते हैं। ​​ 

दर्शकों के सामने जबरन वसूली

जबरन वसूली करने वाले गिरोह आम तौर पर पीड़ित को निजी संदेश भेजकर शुरुआत करते हैं। बातचीत बंद दरवाज़ों के पीछे होती है और आम लोगों को सेंध की जानकारी, अगर मिलती भी है, तो लीक साइट या नियामक के पास दाखिल दस्तावेज़ के ज़रिए मिलती है। 

ASOS के हमलावरों ने इस क्रम को उलट दिया। ASOS के कुछ भी पुष्टि करने से पहले उन्होंने ग्राहकों को बता दिया और मीडिया तथा निवेशकों को भी यह सब देखने के लिए बुला लिया। समूह के पास कोई डेटा न होने पर भी, एक पुश सूचना ने ASOS पर बाज़ार का दबाव बना दिया और सार्वजनिक रूप से जवाब देने के लिए उसका समय कम कर दिया। इस देरी से ग्राहकों के मन में संदेह पैदा हुआ और ASOS पर बाज़ार का दबाव बढ़ा। 

संचार माध्यम का चुनाव नुकसान को और बढ़ा देता है। ग्राहक ऐप की सूचनाएँ पाने की सहमति इसलिए देते हैं, क्योंकि वे संदेश भेजने वाले पर भरोसा करते हैं। सुरक्षा-जागरूकता प्रशिक्षण में लोगों को भेजने वाले का पता जाँचने या लिंक पर माउस ले जाकर उसका पता देखने की सलाह दी जाती है, लेकिन उनके अपने फ़ोन पर असली ऐप के ज़रिए पहुँचा संदेश इन जाँचों में खरा उतरता है। इस माध्यम का हर दुरुपयोग उन वैध संदेशों के लिए इसकी विश्वसनीयता घटाता है जिन्हें रिटेलर को भेजना होता है—आगे चलकर सेंध की सूचनाएँ भी। 

ग्राहकों के लिए इसका क्या मतलब है

इस घटना के बाद फ़िशिंग की आशंका सबसे अधिक है। अपराधी अक्सर सेंध की खबर का फ़ायदा उठाकर नकली धन-वापसी प्रस्ताव, पासवर्ड रीसेट करने के अनुरोध और सेंध की सूचना वाले ईमेल भेजते हैं, जो लोगों को लॉगिन विवरण चुराने के लिए बनाए गए पेजों पर ले जाते हैं। ASOS ग्राहकों को घटना से जुड़े किसी भी अप्रत्याशित संदेश पर संदेह करना चाहिए, Telegram लिंक से बचना चाहिए और ऐप या वेबसाइट को सीधे खोलकर अपने खातों की जाँच करनी चाहिए। दोबारा इस्तेमाल किए गए पासवर्ड बदलने और दो-चरणीय सत्यापन चालू करने से खाते पर कब्ज़ा करने की सबसे आम कोशिशें शुरू होने से पहले ही रुक जाएँगी। 

रिटेलरों के लिए इसका क्या मतलब है

हमलावर ASOS की वेबसाइट या ऐप के ज़रिए नहीं आए थे। उन्होंने एक कर्मचारी के लॉगिन क्रेडेंशियल और उनसे जुड़े तीसरे पक्ष के टूल्स के ज़रिए प्रवेश किया था। किसी खुदरा विक्रेता के हमले के जोखिम वाले दायरे में कॉर्पोरेट और विकास नेटवर्क, ग्राहक डेटा प्लेटफ़ॉर्म, SaaS एप्लिकेशन, सेवा खाते, संचार टूल और इन परिवेशों से जुड़े विक्रेता शामिल होते हैं। 

हर संगठन अपने विक्रेताओं की सुरक्षा प्रक्रियाओं पर निर्भर करता है, इसलिए उचित जाँच-पड़ताल करना लगातार निभाई जाने वाली ज़िम्मेदारी है। विक्रेता के साथ हर एकीकरण संगठन के हमले के जोखिम वाले दायरे को बढ़ा सकता है और अतिरिक्त जोखिम पैदा कर सकता है। इसलिए हर एकीकरण की सावधानीपूर्वक जाँच और नियमित समीक्षा ज़रूरी है। विक्रेता चुनते समय और उसके बाद नियमित अंतराल पर जोखिम का आकलन किया जाना चाहिए। साथ ही, इसका स्पष्ट रिकॉर्ड होना चाहिए कि किन विक्रेता खातों की ग्राहकों तक सीधे पहुँच है। यह निरंतर प्रयास है, एक बार की परियोजना नहीं। नियमित समीक्षाएँ इस तस्वीर को अद्यतन रखने और उन बदलावों की पहचान करने में मदद करती हैं जिनसे नए जोखिम पैदा हो सकते हैं। 

इन समीक्षाओं में यह भी शामिल होना चाहिए कि ग्राहक-संचार के माध्यमों तक किसकी पहुँच है। खुदरा विक्रेताओं के अपने ऐप्स के ज़रिए पुश नोटिफ़िकेशन सेवाएँ, SMS गेटवे और ईमेल प्लेटफ़ॉर्म कुछ ही सेकंड में लाखों लोगों तक पहुँच सकते हैं। इसलिए यह स्पष्ट रिकॉर्ड रखना ज़रूरी है कि किन विक्रेता खातों से ग्राहकों को सीधे संदेश भेजे जा सकते हैं। उन्हें फ़िशिंग-रोधी MFA से इन खातों की सुरक्षा करनी चाहिए और पहुँच को तुरंत रद्द करने का एक परखा हुआ तरीका भी रखना चाहिए। इन माध्यमों पर नियंत्रण बनाए रखने से खुदरा विक्रेताओं को ग्राहकों तक भरोसेमंद तरीके से पहुँचने और कुछ गड़बड़ होने पर सही स्थिति स्पष्ट करने का अवसर भी मिलता है।  

नियमन भी इसी दिशा में आगे बढ़ रहा है। 11 सितंबर, 2026 से, EU Cyber Resilience Act के तहत डिजिटल तत्वों वाले उत्पादों के निर्माताओं को सक्रिय रूप से शोषित की जा रही कमजोरियों और गंभीर घटनाओं की सूचना 24 घंटे के भीतर ENISA और राष्ट्रीय CSIRTs को देना आवश्यक है। यह आवश्यकता अब खुदरा विक्रेताओं को उनके द्वारा जारी किए गए ऐप्स की सुरक्षा के लिए जवाबदेह ठहराती है, लेकिन उन ऐप्स के माध्यम से संदेश भेजने वाले प्लेटफ़ॉर्म अक्सर ऐसे विक्रेताओं के पास होते हैं जिन पर यह विनियमन लागू नहीं होता। 

​​ASOS के लिए, भरोसा फिर से कायम करने का मतलब है ग्राहकों को यह दिखाना कि उनका डेटा और उनसे संपर्क करने के लिए इस्तेमाल किए जाने वाले माध्यम—दोनों सुरक्षित हैं। अन्य खुदरा विक्रेताओं के लिए, यह अपने विक्रेता-संबंधों की पड़ताल करने, यह समझने की कड़ी याद दिलाता है कि हर सेवा प्रदाता की पहुँच किन चीज़ों तक है, और यह सुनिश्चित करने की कि उस पहुँच का दुरुपयोग होने पर वे तुरंत कार्रवाई कर सकें।​