Quando la richiesta di riscatto arriva tramite la tua stessa app

La mattina del 6 ottobre, gli utenti dell’app ASOS nel Regno Unito e in diversi altri mercati hanno ricevuto una notifica push dal rivenditore, da cui normalmente ricevono aggiornamenti sui nuovi arrivi e codici sconto. Questa volta il messaggio diceva «ASOS HACKED». Era indirizzato al Data Protection Officer (DPO) e al team IT dell’azienda, affermava che gli aggressori avevano «compromesso completamente l’istanza Snowflake» e minacciava di divulgare i dati se ASOS non li avesse contattati tramite un canale Telegram. 

Nel giro di un’ora, le azioni ASOS erano scese di oltre il 10%. Gli aggressori non avevano pubblicato neanche un dato. 

Cosa sappiamo finora

ASOS ha confermato quel pomeriggio che era stata inviata una notifica non autorizzata e che stava indagando sulle attività svolte sulle piattaforme di terze parti utilizzate per comunicare con i clienti. Ha limitato l’accesso a tali piattaforme e ha dichiarato che potrebbero essere stati esposti nomi e recapiti. Ritiene che i dati delle carte di pagamento e le password degli account non siano stati coinvolti. 

L’8 ottobre, l’azienda ha spiegato come gli aggressori fossero riusciti a entrare. Qualcuno si è spacciato per un contatto fidato e ha convinto un dipendente di ASOS a consegnare le credenziali di accesso al proprio account di lavoro. Queste credenziali hanno permesso agli aggressori di accedere alle piattaforme di comunicazione con i clienti. ASOS ha informato l’Information Commissioner’s Office, che sta valutando l’incidente. 

​​L’affermazione relativa a Snowflake non è stata dimostrata. Snowflake sostiene che la propria indagine non ha rilevato alcuna compromissione della sua piattaforma e il gruppo che ha diffuso il messaggio, che si fa chiamare Xuanye Group, non ha pubblicato alcun dato di esempio. L’eventuale comparsa di record di esempio nei prossimi giorni contribuirà in modo decisivo a chiarire la questione. Nel frattempo, il National Cyber Security Centre (NCSC) del Regno Unito ha consigliato ai clienti ASOS di presumere che potrebbero essere coinvolti, indipendentemente dal fatto che abbiano ricevuto o meno la notifica.​​​ 

Perché l’IA alza l’asticella

​​La posta in gioco in questo incidente è più alta di quanto suggerisca il semplice insieme di dati. I rivenditori che sviluppano forme di personalizzazione basate sull’IA centralizzano sempre più spesso i dati comportamentali, transazionali e demografici in un unico profilo cliente. ​Questi profili rendono più mirati i consigli e più pertinenti le attività di marketing. Nelle mani di un aggressore, permettono di affinare allo stesso modo le frodi. ​​     ​​ 

​​​​Gli aggressori non devono più preparare a mano messaggi ingannevoli su misura. In un esperimento sul campo con oltre 7.700 partecipanti, i ricercatori di BIFOLD e TU Berlin, in collaborazione con Inria and Ruhr University Bochum, hanno rilevato che il phishing personalizzato generato dall’IA ha ottenuto un tasso di clic 2,4 volte superiore a quello del phishing generico​.​​ 

​​​Gli strumenti di comunicazione al centro dell’incidente ASOS meritano la stessa attenzione. Le piattaforme di coinvolgimento dei clienti che segmentano il pubblico, personalizzano i messaggi e li inviano per conto di un rivenditore contengono sia i dati dei clienti sia gli strumenti per raggiungerli tutti in una volta. Questa combinazione le rende un obiettivo a sé stante. ​​ 

Estorsione sotto gli occhi di tutti

Di solito, i gruppi dediti all’estorsione esordiscono con un messaggio privato alla vittima. Le trattative si svolgono a porte chiuse e, se la notizia di una violazione arriva al pubblico, lo fa tramite un sito di divulgazione dei dati o una comunicazione alle autorità di regolamentazione. 

Gli aggressori di ASOS hanno invertito l’ordine. Hanno informato prima i clienti e hanno attirato l’attenzione dei media e degli investitori prima che ASOS confermasse alcunché. Anche se il gruppo non fosse entrato in possesso di alcun dato, una sola notifica push ha creato pressione di mercato su ASOS e ridotto il tempo a disposizione per rispondere pubblicamente. Quel ritardo ha alimentato i dubbi dei clienti e aumentato la pressione del mercato su ASOS. 

La scelta del canale amplifica il danno. I clienti autorizzano le notifiche dell’app perché si fidano del mittente. La formazione sulla sicurezza insegna a controllare l’indirizzo del mittente o a passare il puntatore su un link, ma un messaggio recapitato tramite l’app autentica sul proprio telefono supera queste verifiche. Ogni uso improprio di quel canale lo rende meno affidabile per le comunicazioni legittime che un rivenditore deve inviare, comprese le future notifiche di violazioni. 

Cosa significa per i clienti

La conseguenza più probabile è una campagna di phishing. I criminali sfruttano abitualmente la visibilità di una violazione inviando false offerte di rimborso, richieste di reimpostazione della password ed e-mail di notifica della violazione che rimandano a pagine progettate per sottrarre credenziali. I clienti ASOS dovrebbero diffidare di qualsiasi messaggio inatteso relativo all’incidente, evitare il link a Telegram e controllare i propri account aprendo direttamente l’app o il sito web. Cambiare le password riutilizzate e attivare la verifica in due passaggi impedirà sul nascere i tentativi più comuni di acquisizione degli account. 

Cosa significa per i rivenditori

Gli aggressori non sono passati dal sito web o dall’app di ASOS. Sono entrati usando le credenziali di un dipendente e gli strumenti di terze parti a esse collegati. La superficie di attacco di un rivenditore comprende le reti aziendali e di sviluppo, le piattaforme per i dati dei clienti, le applicazioni SaaS, gli account di servizio, gli strumenti di comunicazione e i fornitori collegati a questi ambienti. 

Ogni organizzazione dipende dalle pratiche di sicurezza dei propri fornitori, il che rende la due diligence un obbligo costante. Ogni integrazione con un fornitore può ampliare la superficie di attacco di un’organizzazione e introdurre ulteriori rischi, quindi deve essere valutata con attenzione e sottoposta a verifiche periodiche. Le valutazioni dei rischi vanno effettuate al momento della selezione del fornitore e a intervalli regolari in seguito, conservando inoltre un registro chiaro degli account dei fornitori che possono raggiungere direttamente i clienti. È un’attività continuativa, non un progetto una tantum. Le verifiche periodiche aiutano a mantenere aggiornato il quadro e a individuare cambiamenti che potrebbero introdurre nuovi rischi. 

Queste verifiche dovrebbero riguardare anche chi ha accesso ai canali di comunicazione con i clienti. I servizi di notifiche push tramite app proprietarie, i gateway SMS e le piattaforme di posta elettronica possono raggiungere milioni di persone in pochi secondi; perciò, i rivenditori devono tenere un registro chiaro degli account dei fornitori che possono inviare messaggi direttamente ai clienti. Dovrebbero proteggere tali account con l’autenticazione a più fattori (MFA) resistente al phishing e disporre di una procedura collaudata per revocare rapidamente l’accesso. Mantenere il controllo di questi canali consente inoltre ai rivenditori di raggiungere i clienti tramite un mezzo affidabile e di chiarire i fatti quando qualcosa va storto.  

La regolamentazione va nella stessa direzione. Dall’11 settembre 2026, il Cyber Resilience Act dell’UE impone ai produttori di prodotti con elementi digitali di segnalare a ENISA e ai CSIRT nazionali, entro 24 ore, le vulnerabilità sfruttate attivamente e gli incidenti gravi. Questo requisito rende ora i rivenditori responsabili della sicurezza delle app che distribuiscono, ma le piattaforme che inviano messaggi tramite queste app sono spesso gestite da fornitori che non rientrano nell’ambito di applicazione della normativa. 

​​Per ASOS, ricostruire la fiducia significa dimostrare ai clienti che sono sicuri sia i loro dati sia i canali usati per raggiungerli. Per gli altri rivenditori, è un chiaro monito a esaminare i rapporti con i propri fornitori, capire a quali dati e sistemi può accedere ciascun fornitore e assicurarsi di poter reagire rapidamente in caso di uso improprio di tale accesso.​