Når utpressingsmeldingen kommer via din egen app

Morgenen 6. oktober mottok brukere av ASOS-appen i Storbritannia og flere andre markeder et pushvarsel fra forhandleren, som de vanligvis hører fra om nyheter og rabattkoder. Denne gangen sto det «ASOS HACKET». Meldingen var adressert til selskapets Data Protection Officer (DPO) og IT-team, hevdet at angriperne hadde «fullstendig kompromittert Snowflake-instansen» og truet med å lekke data hvis ikke ASOS tok kontakt via en Telegram-kanal. 

I løpet av en time hadde ASOS-aksjene falt med mer enn 10 %. Angriperne hadde ikke publisert en eneste post. 

Dette vet vi så langt

ASOS bekreftet samme ettermiddag at et uautorisert varsel var blitt sendt, og at selskapet undersøkte aktivitet på tredjepartsplattformer det bruker til å kommunisere med kundene. Tilgangen til plattformene ble begrenset, og selskapet opplyste at navn og kontaktopplysninger kan ha blitt eksponert. Selskapet tror ikke at betalingskortopplysninger eller kontopassord er berørt. 

Den 8. oktober forklarte selskapet hvordan angriperne kom seg inn. Noen utga seg for å være en kontaktperson de stolte på, og overtalte en ASOS-ansatt til å utlevere innloggingsopplysningene til jobbkontoen sin. Disse opplysningene ga angriperne tilgang til kundekommunikasjonsplattformene. ASOS har varslet Information Commissioner’s Office, som vurderer hendelsen. 

​​Påstanden om Snowflake er fortsatt ikke bevist. Snowflake sier at selskapets undersøkelse ikke avdekket at plattformen var kompromittert, og gruppen bak meldingen, som kaller seg Xuanye Group, har ikke offentliggjort noen eksempeldatasett. Om slike dataeksempler dukker opp i løpet av de kommende dagene, vil i stor grad bidra til å avklare spørsmålet. I mellomtiden har Storbritannias National Cyber Security Centre (NCSC) rådet ASOS-kunder til å regne med at de kan være berørt, enten de mottok varselet eller ikke.​​​ 

Hvorfor AI skjerper kravene

​​Konsekvensene av denne hendelsen er større enn det det grunnleggende datasettet antyder. Forhandlere som utvikler AI-drevet personalisering, samler i økende grad atferdsdata, transaksjonsdata og demografiske data i én enkelt kundeprofil. ​Disse profilene gjør anbefalingene mer treffsikre og markedsføringen mer relevant. I hendene på en angriper kan de gjøre svindelen tilsvarende mer treffsikker. ​​     ​​ 

​​​​Angripere trenger ikke lenger å skrive skreddersydde lokkemeldinger for hånd. I et felteksperiment med mer enn 7 700 deltakere fant forskere fra BIFOLD og TU Berlin, i samarbeid med Inria og Ruhr University Bochum, at personlig tilpasset, AI-generert phishing oppnådde 2,4 ganger så høy klikkrate som generisk phishing​.​​ 

​​​Kommunikasjonsverktøyene som sto sentralt i ASOS-hendelsen, fortjener den samme oppmerksomheten. Plattformene for kundeengasjement som segmenterer, tilpasser og sender meldinger på vegne av en forhandler, har både kundedataene og muligheten til å nå alle kundene samtidig. Denne kombinasjonen gjør dem til et mål i seg selv. ​​ 

Utpressing med et publikum

Utpressingsgrupper starter vanligvis med en privat melding til offeret. Forhandlingene foregår bak lukkede dører, og offentligheten får eventuelt vite om et datainnbrudd gjennom et nettsted for lekkasjer eller en myndighetsmelding. 

Angriperne mot ASOS snudde om på rekkefølgen. De varslet kundene først og sørget for at medier og investorer fulgte med før ASOS hadde bekreftet noe som helst. Selv om gruppen ikke hadde noen data, skapte ett enkelt pushvarsel markedspress på ASOS og kortet ned tiden selskapet hadde til å svare offentlig. Denne forsinkelsen skapte usikkerhet blant kundene og markedspress på ASOS. 

Valget av kanal forsterker skadevirkningene. Kundene samtykker til å motta varsler fra apper fordi de stoler på avsenderen. Opplæring i sikkerhetsbevissthet lærer folk å kontrollere avsenderadressen eller holde markøren over en lenke, men en melding som kommer via den ekte appen på deres egen telefon, består disse kontrollene. Hver gang kanalen misbrukes, blir den mindre pålitelig for meldingene forhandleren legitimt trenger å sende, også framtidige varsler om datainnbrudd. 

Hva dette betyr for kundene

Den mest sannsynlige følgen er phishing. Kriminelle utnytter rutinemessig oppmerksomheten rundt et datainnbrudd ved å sende falske tilbud om refusjon, forespørsler om tilbakestilling av passord og e-poster med varsler om datainnbrudd som leder til sider der de forsøker å stjele innloggingsopplysninger. ASOS-kunder bør være skeptiske til alle uventede meldinger om hendelsen, unngå Telegram-lenken og kontrollere kontoene sine ved å åpne appen eller nettstedet direkte. Hvis de endrer passord de har gjenbrukt og slår på totrinnsbekreftelse, kan de vanligste forsøkene på kontokapring stanses før de begynner. 

Hva dette betyr for forhandlere

Angriperne kom ikke inn via ASOS-nettstedet eller appen. De brukte påloggingsopplysningene til en ansatt og tredjepartsverktøyene som var knyttet til dem. En forhandlers angrepsflate omfatter bedrifts- og utviklingsnettverk, plattformer for kundedata, SaaS-applikasjoner, tjenestekontoer, kommunikasjonsverktøy og leverandørene som er koblet til disse miljøene. 

Alle organisasjoner er avhengige av leverandørenes sikkerhetspraksis, noe som gjør aktsomhetsvurderinger til en kontinuerlig forpliktelse. Hver leverandørintegrasjon kan utvide organisasjonens angrepsflate og introdusere ytterligere risiko, så hver enkelt må undersøkes nøye og gjennomgås regelmessig. Risikovurderinger bør gjennomføres når leverandører velges, og deretter med jevne mellomrom. Det bør også føres en tydelig oversikt over hvilke leverandørkontoer som kan nå kundene direkte. Dette er en kontinuerlig innsats, ikke et engangsprosjekt. Regelmessige gjennomganger bidrar til å holde oversikten oppdatert og avdekke endringer som kan medføre ny risiko. 

Disse gjennomgangene bør også omfatte hvem som har tilgang til kommunikasjonskanalene for kundene. Pushvarslingstjenester i egne apper, SMS-gatewayer og e-postplattformer kan nå millioner av mennesker på få sekunder. Derfor trenger forhandlere en tydelig oversikt over hvilke leverandørkontoer som kan sende meldinger direkte til kundene. Disse kontoene bør sikres med phishing-resistent flerfaktorautentisering (MFA), og forhandlerne bør ha en utprøvd metode for raskt å tilbakekalle tilgangen. Kontroll over disse kanalene gir også forhandlerne en pålitelig måte å nå kundene på og oppklare saken når noe går galt.  

Regelverket trekker i samme retning. Siden 11. september 2026 har EUs Cyber Resilience Act pålagt produsenter av produkter med digitale elementer å rapportere aktivt utnyttede sårbarheter og alvorlige hendelser til ENISA og nasjonale CSIRT-er innen 24 timer. Dette kravet holder nå forhandlere ansvarlige for sikkerheten til appene de leverer, men plattformene som sender meldinger gjennom disse appene, tilhører ofte leverandører som ikke omfattes av regelverket. 

​​For ASOS betyr det å gjenoppbygge tilliten å vise kundene at både dataene deres og kanalene som brukes til å nå dem, er sikre. For andre forhandlere er dette en tydelig påminnelse om å gå gjennom leverandørforholdene sine, forstå hva hver leverandør har tilgang til, og forsikre seg om at de kan reagere raskt hvis tilgangen misbrukes.​