ソートリーダー

身代金要求が自社アプリを通じて届くとき

公開日 2026年10月21日

著者

Gina Cardelli, Fortraのプリンシパル・セキュリティ・ストラテジスト

10月6日の朝、英国やその他複数の市場でASOSアプリを利用する人々に、いつも新着商品や割引コードを知らせてくる小売業者からプッシュ通知が届いた。そこには「ASOS HACKED」と書かれていた。通知は同社のData Protection Officer (DPO)とITチーム宛てで、攻撃者は「Snowflakeのインスタンスを完全に侵害した」と主張し、ASOSがTelegramのチャンネルを通じて連絡しなければデータを流出させると脅していた。

1時間もしないうちに、ASOSの株価は10％を超えて下落した。攻撃者は、まだ1件の記録も公開していなかった。

現時点で判明していること

ASOSはその日の午後、確認し、許可されていない通知が送信されたこと、顧客との連絡に使用しているサードパーティープラットフォーム上の活動を調査していることを明らかにした。同社はそれらのプラットフォームへのアクセスを制限し、氏名や連絡先情報が露出した可能性があると述べた。決済カード情報やアカウントのパスワードに影響が及んだとは考えていない。

10月8日、同社は攻撃者の侵入経路を説明した。何者かが信頼されている連絡先になりすまし、ASOSの従業員をだまして業務用アカウントのログイン認証情報を渡させた。その認証情報によって、攻撃者は顧客との連絡に使われるプラットフォームにアクセスできた。ASOSはInformation Commissioner’s Officeに報告しており、同機関はこの事案を評価している。

Snowflakeの主張は、依然として裏付けられていない。Snowflakeは、調査の結果、同社のプラットフォームに侵害は確認されなかったと述べており、メッセージを発信した「Xuanye Group」を名乗るグループは、サンプルデータを公開していない。今後数日のうちにサンプル記録が公開されるかどうかが、この問題の決着を大きく左右するだろう。一方、英国の国家サイバーセキュリティセンター（NCSC）は、ASOSの顧客に対し、通知を受け取ったかどうかにかかわらず、自分たちも影響を受けている可能性があると想定するよう助言した。

AIがリスクを高める理由

この事案の影響は、基本的なデータセットから想像される以上に大きい。AIを活用したパーソナライゼーションを進める小売業者は、行動データ、取引データ、人口統計データを単一の顧客プロファイルに集約する傾向を強めている。こうしたプロファイルは、より的確なおすすめと、顧客に合ったマーケティングを可能にする。攻撃者の手に渡れば、同じ情報が詐欺にも利用される。

攻撃者が、相手に合わせた誘い文句を手作業で作る必要はもはやない。7,700人を超える参加者を対象にした実地実験で、BIFOLDとTU Berlinの研究者は、Inria and Ruhr University Bochumと協力し、パーソナライズされたAI生成フィッシングは、一般的なフィッシングの2.4倍のクリック率を達成した。

ASOSの事案の中心となった顧客とのコミュニケーションツールにも、同じ注意を払う必要がある。顧客を分類し、パーソナライズしたメッセージを小売業者に代わって送信する顧客エンゲージメントプラットフォームは、顧客データと、すべての顧客に一斉に連絡する手段の両方を握っている。この組み合わせによって、プラットフォーム自体が攻撃対象となる。

人々の目の前で行われる恐喝

恐喝グループは通常、被害者に非公開のメッセージを送るところから始める。交渉は密室で行われ、情報漏えいがあったとしても、その事実を世間が知るのは、リークサイトや規制当局への報告を通じてである。

ASOSを攻撃したグループは、その順序を逆転させた。ASOSが何かを確認する前に、まず顧客に知らせ、メディアや投資家を注目させた。グループがデータをまったく保有していなかったとしても、たった1件のプッシュ通知でASOSに市場からの圧力がかかり、公式に説明するまでの時間が短くなった。この遅れは顧客の不信を招き、ASOSへの市場の圧力を強めた。

利用された経路の選択が、被害をさらに大きくする。顧客がアプリの通知を受け取る設定にするのは、送信元を信頼しているからだ。セキュリティ意識向上の研修では、送信者のアドレスを確認したり、リンクにカーソルを合わせたりするよう教える。しかし、自分のスマートフォンに入っている本物のアプリを通じて届いたメッセージは、こうした確認をすり抜けてしまう。この経路が悪用されるたびに、小売業者が送る必要のある正規のメッセージ、将来の情報漏えい通知も含め、その信頼性が損なわれる。

顧客への影響

次に起こる可能性が最も高いのはフィッシングだ。犯罪者は情報漏えいの報道を利用し、偽の返金案内やパスワード再設定の依頼、認証情報を盗み取るページへ誘導する情報漏えい通知メールを日常的に送りつける。ASOSの顧客は、この事案に関する予期しないメッセージを疑ってかかり、Telegramのリンクを開かず、アプリまたはウェブサイトを直接開いてアカウントを確認するべきだ。使い回しているパスワードを変更し、2段階認証を有効にすれば、最も一般的なアカウント乗っ取りを未然に防げる。

小売業者への影響

攻撃者はASOSのウェブサイトやアプリを経由して侵入したのではありません。従業員の認証情報と、それに接続されたサードパーティ製ツールを通じて侵入しました。小売業者の攻撃対象領域には、社内ネットワークや開発ネットワーク、顧客データプラットフォーム、SaaSアプリケーション、サービスアカウント、コミュニケーションツール、そしてこうした環境に接続されたベンダーが含まれます。

すべての組織はベンダーのセキュリティ対策に依存しているため、継続的なデューデリジェンスが求められます。ベンダーとの連携はどれも組織の攻撃対象領域を広げ、新たなリスクを招く可能性があるため、慎重に審査し、定期的に見直す必要があります。ベンダーの選定時にリスク評価を実施し、その後も定期的に行うとともに、どのベンダーアカウントが顧客に直接アクセスできるのかを明確に記録しておくことが重要です。これは一度限りのプロジェクトではなく、継続的な取り組みです。定期的な見直しにより、状況を最新の状態に保ち、新たなリスクを招く可能性のある変化を特定できます。

こうした見直しでは、顧客とのコミュニケーションチャネルに誰がアクセスできるのかも確認する必要があります。自社アプリのプッシュ通知サービス、SMSゲートウェイ、メールプラットフォームを使えば、数秒で何百万人もの人々にメッセージを届けられるため、小売業者は顧客に直接メッセージを送信できるベンダーアカウントを明確に記録しておく必要があります。こうしたアカウントはフィッシング耐性のあるMFAで保護し、アクセスを迅速に取り消すための手順も、テスト済みのものを用意しておくべきです。これらのチャネルを管理下に置くことで、問題が起きた際に、顧客へ確実に連絡し、事実関係を正すための信頼できる手段も確保できます。

規制も同じ方向へと動いています。2026年9月11日以降、EUサイバーレジリエンス法により、デジタル要素を含む製品の製造業者は、実際に悪用されている脆弱性や重大なインシデントを、24時間以内にENISAおよび各国のCSIRTに報告することが義務付けられています。この要件により、小売業者は自社が提供するアプリのセキュリティに責任を負うことになりましたが、そうしたアプリを通じてメッセージを送信するプラットフォームは、規制の対象外となるベンダーが運営していることも少なくありません。

ASOSにとって、信頼を取り戻すには、顧客データと顧客への連絡に使うチャネルの両方が安全であることを示す必要があります。他の小売業者にとっても、これはベンダーとの関係を幅広く見直し、各プロバイダーが何にアクセスできるのかを把握し、そのアクセスが悪用された場合に迅速に対応できるようにする必要があることを示す、厳しい警鐘です。