Wanneer het losgeldbericht via je eigen app binnenkomt

Op de ochtend van 6 oktober ontvingen gebruikers van de ASOS-app in het Verenigd Koninkrijk en verschillende andere markten een pushmelding van de retailer van wie ze normaal gesproken berichten krijgen over nieuwe artikelen en kortingscodes. Dit keer stond er: ‘ASOS GEHACKT’. De melding was gericht aan de functionaris voor gegevensbescherming van het bedrijf (DPO) en het IT-team, beweerde dat de aanvallers ‘de Snowflake-instantie volledig hadden gecompromitteerd’ en dreigde gegevens openbaar te maken tenzij ASOS via een Telegram-kanaal contact opnam. 

Binnen een uur waren de aandelen van ASOS met meer dan 10% gedaald. De aanvallers hadden geen enkel bestand openbaar gemaakt. 

Wat we tot nu toe weten

ASOS bevestigde die middag dat er een onbevoegde melding was verstuurd en dat het onderzoek deed naar activiteiten op platforms van derden die het gebruikt om met klanten te communiceren. Het beperkte de toegang tot die platforms en zei dat mogelijk namen en contactgegevens waren blootgesteld. Volgens het bedrijf zijn betaalkaartgegevens en accountwachtwoorden waarschijnlijk niet getroffen. 

Op 8 oktober legde het bedrijf uit hoe de aanvallers waren binnengedrongen. Iemand deed zich voor als een vertrouwd contact en haalde een ASOS-medewerker over om de inloggegevens van diens werkaccount af te geven. Met die gegevens kregen de aanvallers toegang tot de communicatieplatforms voor klanten. ASOS heeft de Information Commissioner’s Office op de hoogte gebracht, die het incident onderzoekt. 

​​De bewering over Snowflake is nog niet bewezen. Snowflake zegt dat het onderzoek geen compromittering van zijn platform heeft aangetoond. De groep achter het bericht, die zichzelf Xuanye Group noemt, heeft geen voorbeeldgegevens vrijgegeven. Of er de komende dagen voorbeeldgegevens opduiken, zal veel bijdragen aan de beantwoording van die vraag. In de tussentijd heeft het Britse National Cyber Security Centre (NCSC) klanten van ASOS geadviseerd ervan uit te gaan dat ze mogelijk zijn getroffen, ongeacht of ze de melding hebben ontvangen.​​​ 

Waarom AI de lat hoger legt

​​De gevolgen van dit incident zijn ernstiger dan de beperkte dataset doet vermoeden. Retailers die werken aan AI-gest personalisatie brengen gedrags-, transactie- en demografische gegevens steeds vaker samen in één klantprofiel. ​Met die profielen kunnen aanbevelingen worden verbeterd en marketingboodschappen beter worden afgestemd. In handen van een aanvaller kunnen ze op dezelfde manier worden ingezet voor fraude. ​​     ​​ 

​​​​Aanvallers hoeven niet langer zelf gerichte lokmiddelen te schrijven. In een veldexperiment met meer dan 7.700 deelnemers ontdekten onderzoekers van BIFOLD en TU Berlin, in samenwerking met Inria and Ruhr University Bochum, dat gepersonaliseerde phishingberichten, gegenereerd met AI, 2,4 keer zoveel klikken opleverden als generieke phishingberichten​.​​ 

​​​De communicatietools die centraal staan in het ASOS-incident verdienen dezelfde aandacht. Platforms voor klantinteractie die klanten segmenteren, berichten personaliseren en namens een retailer versturen, beschikken zowel over klantgegevens als over de middelen om alle klanten tegelijk te bereiken. Door die combinatie zijn ze zelf een doelwit. ​​ 

Afpersing met publiek

Afpersingsgroepen beginnen meestal met een privébericht aan het slachtoffer. De onderhandelingen vinden achter gesloten deuren plaats en het publiek hoort, als dat al gebeurt, pas van een datalek via een leksite of een melding bij een toezichthouder. 

De aanvallers van ASOS draaiden die volgorde om. Ze informeerden eerst de klanten en zorgden ervoor dat de media en beleggers toekeken voordat ASOS iets had bevestigd. Zelfs als de groep helemaal geen gegevens in handen had, zorgde één pushmelding voor marktdruk op ASOS en verkortte die de tijd die het bedrijf had om publiekelijk te reageren. Die vertraging leidde tot twijfel bij klanten en zette ASOS onder druk op de markt. 

De keuze van het kanaal vergroot de schade. Klanten geven toestemming voor appmeldingen omdat ze de afzender vertrouwen. In trainingen over beveiligingsbewustzijn leren mensen het afzenderadres te controleren of de muis boven een link te houden, maar een bericht dat via de officiële app op hun eigen telefoon binnenkomt, doorstaat die controles. Elk misbruik van dat kanaal maakt het minder betrouwbaar voor de legitieme berichten die een retailer moet versturen, waaronder toekomstige meldingen over datalekken. 

Wat dit voor klanten betekent

Phishing is het meest waarschijnlijke vervolg. Criminelen spelen routinematig in op de publiciteit rond een datalek door valse terugbetalingsaanbiedingen, verzoeken om wachtwoorden opnieuw in te stellen en e-mails over datalekken te versturen die naar pagina’s leiden waarop inloggegevens worden buitgemaakt. Klanten van ASOS moeten onverwachte berichten over het incident wantrouwen, de Telegram-link vermijden en hun account controleren door de app of website rechtstreeks te openen. Hergebruikte wachtwoorden wijzigen en tweestapsverificatie inschakelen voorkomt de meest voorkomende pogingen om accounts over te nemen voordat die beginnen. 

Wat dit voor retailers betekent

De aanvallers kwamen niet binnen via de website of app van ASOS. Ze gebruikten de inloggegevens van een medewerker en de tools van derden die daaraan waren gekoppeld. Het aanvalsoppervlak van een retailer omvat bedrijfs- en ontwikkelnetwerken, klantdataplatforms, SaaS-applicaties, serviceaccounts, communicatietools en de leveranciers die met deze omgevingen zijn verbonden. 

Elke organisatie is afhankelijk van de beveiligingspraktijken van haar leveranciers. Daardoor is zorgvuldigheid bij het beoordelen van leveranciers een doorlopende verplichting. Elke integratie met een leverancier kan het aanvalsoppervlak van een organisatie vergroten en extra risico’s met zich meebrengen. Daarom moet elke integratie zorgvuldig worden getoetst en regelmatig worden beoordeeld. Risicobeoordelingen zijn nodig bij de selectie van een leverancier en daarna met regelmatige tussenpozen. Ook moet duidelijk worden vastgelegd welke leveranciersaccounts klanten rechtstreeks kunnen bereiken. Dit is een doorlopende inspanning, geen eenmalig project. Regelmatige beoordelingen helpen dit overzicht actueel te houden en veranderingen op te sporen die nieuwe risico’s kunnen veroorzaken. 

Bij die beoordelingen moet ook worden nagegaan wie toegang heeft tot de communicatiekanalen voor klanten. Pushmeldingsdiensten via eigen apps, sms-gateways en e-mailplatforms kunnen binnen enkele seconden miljoenen mensen bereiken. Daarom moeten retailers duidelijk vastleggen welke leveranciersaccounts rechtstreeks berichten naar klanten kunnen sturen. Ze moeten die accounts beveiligen met phishingbestendige multifactorauthenticatie (MFA) en beschikken over een geteste procedure om de toegang snel in te trekken. Door deze kanalen onder controle te houden, hebben retailers bovendien een betrouwbare manier om klanten te bereiken en recht te zetten wat er is misgegaan.  

Ook regelgeving stuurt aan op hetzelfde doel. Sinds 11 september 2026 verplicht de EU Cyber Resilience Act fabrikanten van producten met digitale elementen om actief misbruikte kwetsbaarheden en ernstige incidenten binnen 24 uur te melden bij ENISA en nationale CSIRT’s. Deze verplichting maakt retailers nu verantwoordelijk voor de beveiliging van de apps die ze uitbrengen, maar de platforms waarmee berichten via die apps worden verstuurd, vallen vaak onder leveranciers die buiten het bereik van de regelgeving vallen. 

​​Voor ASOS betekent het herstel van vertrouwen dat klanten moeten zien dat zowel hun gegevens als de kanalen waarmee ze worden bereikt, veilig zijn. Voor andere retailers is dit een duidelijke waarschuwing om hun relaties met leveranciers onder de loep te nemen, te begrijpen waartoe elke leverancier toegang heeft en ervoor te zorgen dat ze snel kunnen reageren als die toegang wordt misbruikt.​