Saat Pesan Tebusan Datang Melalui Aplikasi Anda Sendiri

Pada pagi 6 Oktober, pengguna aplikasi ASOS di Inggris Raya dan beberapa pasar lainnya menerima notifikasi push dari peritel yang biasanya memberi tahu mereka tentang produk baru dan kode diskon. Kali ini, bunyi notifikasinya: “ASOS DIRETAS.” Pesan itu ditujukan kepada Data Protection Officer (DPO) dan tim TI perusahaan, menyatakan bahwa para penyerang telah “sepenuhnya membobol instans Snowflake”, dan mengancam akan membocorkan data kecuali ASOS menghubungi mereka melalui saluran Telegram. 

Dalam waktu satu jam, saham ASOS turun lebih dari 10%. Para penyerang belum menerbitkan satu pun catatan data. 

Yang Kita Ketahui Sejauh Ini

ASOS mengonfirmasi pada siang itu bahwa notifikasi tanpa izin telah dikirim dan bahwa mereka sedang menyelidiki aktivitas di platform pihak ketiga yang digunakan untuk berkomunikasi dengan pelanggan. ASOS membatasi akses ke platform tersebut dan menyatakan bahwa nama serta informasi kontak mungkin telah terungkap. ASOS tidak meyakini bahwa data kartu pembayaran atau kata sandi akun terdampak. 

Pada 8 Oktober, perusahaan menjelaskan bagaimana para penyerang berhasil masuk. Seseorang menyamar sebagai kontak tepercaya dan membujuk seorang karyawan ASOS untuk menyerahkan kredensial login akun kerjanya. Kredensial tersebut memberi para penyerang akses ke platform komunikasi pelanggan. ASOS telah memberi tahu Kantor Komisioner Informasi, yang sedang menilai insiden tersebut. 

​​Klaim tentang Snowflake belum terbukti. Snowflake menyatakan bahwa penyelidikannya tidak menemukan adanya pembobolan pada platformnya, dan kelompok di balik pesan tersebut, yang menyebut dirinya Xuanye Group, belum merilis data sampel. Muncul atau tidaknya catatan data sampel dalam beberapa hari mendatang akan sangat membantu menjawab pertanyaan ini. Sementara itu, National Cyber Security Centre (NCSC) Inggris telah menyarankan pelanggan ASOS untuk berasumsi bahwa mereka mungkin terdampak, baik menerima notifikasi itu maupun tidak.​​​ 

Mengapa AI Meningkatkan Taruhannya

​​Dampak insiden tersebut lebih besar daripada yang tersirat dari kumpulan data dasar. Peritel yang mengembangkan personalisasi berbasis AI semakin banyak memusatkan data perilaku, transaksi, dan demografi ke dalam satu profil pelanggan. ​Profil tersebut membuat rekomendasi lebih tepat sasaran dan pemasaran lebih relevan. Di tangan penyerang, profil itu juga membuat penipuan lebih tepat sasaran. ​​     ​​ 

​​​​Penyerang tak lagi perlu merancang umpan khusus secara manual. Dalam eksperimen lapangan yang melibatkan lebih dari 7.700 peserta, para peneliti dari BIFOLD dan TU Berlin, yang bekerja sama dengan Inria and Ruhr University Bochum, menemukan bahwa phishing yang dipersonalisasi dan dihasilkan AI mencapai tingkat klik 2,4 kali lipat dibandingkan phishing generik​.​​ 

​​​Perangkat komunikasi yang menjadi pusat insiden ASOS perlu mendapat perhatian yang sama. Platform interaksi pelanggan yang mengelompokkan pelanggan, melakukan personalisasi, dan mengirim pesan atas nama peritel menyimpan data pelanggan sekaligus sarana untuk menjangkau semua pelanggan sekaligus. Kombinasi tersebut menjadikannya sasaran tersendiri. ​​ 

Pemerasan di Hadapan Publik

Kelompok pemeras biasanya mengawali aksinya dengan mengirim pesan pribadi kepada korban. Negosiasi berlangsung tertutup, dan publik mengetahui adanya kebocoran—jika memang mengetahuinya—melalui situs pembocoran data atau laporan kepada regulator. 

Para penyerang ASOS membalik urutan itu. Mereka memberi tahu pelanggan lebih dulu dan mengundang media serta investor untuk menyaksikan, sebelum ASOS mengonfirmasi apa pun. Sekalipun kelompok itu sama sekali tidak memiliki data, satu notifikasi push saja menciptakan tekanan pasar bagi ASOS dan memperpendek waktu yang dimilikinya untuk menanggapi secara terbuka. Penundaan tersebut menimbulkan keraguan di kalangan pelanggan dan tekanan pasar bagi ASOS. 

Pemilihan saluran komunikasi memperparah dampaknya. Pelanggan mengaktifkan notifikasi aplikasi karena memercayai pengirimnya. Pelatihan kesadaran keamanan mengajarkan orang untuk memeriksa alamat pengirim atau mengarahkan kursor ke tautan, tetapi pesan yang dikirim melalui aplikasi asli di ponsel mereka sendiri lolos dari pemeriksaan tersebut. Setiap penyalahgunaan saluran itu mengurangi keandalannya untuk menyampaikan pesan resmi yang perlu dikirim peritel, termasuk pemberitahuan tentang kebocoran data di kemudian hari. 

Dampaknya bagi Pelanggan

Dampak lanjutan yang paling mungkin terjadi adalah phishing. Pelaku kejahatan rutin memanfaatkan sorotan publik terhadap kebocoran data dengan mengirimkan tawaran pengembalian dana palsu, permintaan pengaturan ulang kata sandi, dan email pemberitahuan kebocoran data yang mengarahkan korban ke halaman pencurian kredensial. Pelanggan ASOS sebaiknya mencurigai setiap pesan tak terduga tentang insiden ini, menghindari tautan Telegram, dan memeriksa akun dengan membuka aplikasi atau situs web secara langsung. Mengganti kata sandi yang digunakan ulang dan mengaktifkan verifikasi dua langkah akan menghentikan upaya pengambilalihan akun yang paling umum sebelum dimulai. 

Dampaknya bagi Peritel

Para penyerang tidak masuk melalui situs web atau aplikasi ASOS. Mereka menggunakan kredensial seorang karyawan dan alat pihak ketiga yang terhubung dengannya. Permukaan serangan peritel mencakup jaringan perusahaan dan pengembangan, platform data pelanggan, aplikasi SaaS, akun layanan, alat komunikasi, serta vendor yang terhubung ke lingkungan tersebut. 

Setiap organisasi bergantung pada praktik keamanan para vendornya, sehingga uji tuntas menjadi kewajiban yang berkelanjutan. Setiap integrasi vendor dapat memperluas permukaan serangan organisasi dan menimbulkan risiko tambahan, jadi setiap integrasi perlu diperiksa dengan cermat dan ditinjau secara berkala. Penilaian risiko perlu dilakukan saat memilih vendor dan secara berkala setelahnya, disertai catatan yang jelas tentang akun vendor mana saja yang dapat menjangkau pelanggan secara langsung. Ini adalah upaya berkelanjutan, bukan proyek satu kali. Peninjauan berkala membantu memastikan informasi tersebut tetap mutakhir dan mengidentifikasi perubahan yang dapat menimbulkan risiko baru. 

Peninjauan tersebut juga perlu mencakup siapa saja yang memiliki akses ke saluran komunikasi pelanggan. Layanan notifikasi push melalui aplikasi milik peritel, gerbang SMS, dan platform email dapat menjangkau jutaan orang dalam hitungan detik, sehingga peritel perlu memiliki catatan yang jelas tentang akun vendor mana saja yang dapat mengirim pesan langsung kepada pelanggan. Mereka harus melindungi akun-akun tersebut dengan MFA yang tahan terhadap phishing dan memiliki cara teruji untuk segera mencabut akses. Kendali atas saluran-saluran ini juga memberi peritel cara tepercaya untuk menghubungi pelanggan dan meluruskan keadaan ketika terjadi masalah.  

Regulasi bergerak ke arah yang sama. Sejak 11 September 2026, EU Cyber Resilience Act mewajibkan produsen produk dengan elemen digital untuk melaporkan kerentanan yang sedang dieksploitasi secara aktif dan insiden serius kepada ENISA dan CSIRT nasional dalam waktu 24 jam. Persyaratan ini kini membuat peritel bertanggung jawab atas keamanan aplikasi yang mereka distribusikan, tetapi platform yang mengirimkan pesan melalui aplikasi tersebut sering kali dikelola oleh vendor yang tidak tercakup dalam regulasi ini. 

​​Bagi ASOS, membangun kembali kepercayaan berarti menunjukkan kepada pelanggan bahwa data mereka maupun saluran yang digunakan untuk menjangkau mereka aman. Bagi peritel lain, ini merupakan pengingat tegas untuk meninjau hubungan mereka dengan para vendor, memahami apa saja yang dapat diakses setiap penyedia, dan memastikan mereka dapat bertindak cepat jika akses tersebut disalahgunakan.​