Gdy żądanie okupu przychodzi przez Twoją własną aplikację

Rankiem 6 października użytkownicy aplikacji ASOS w Wielkiej Brytanii i na kilku innych rynkach otrzymali powiadomienie push od sprzedawcy, od którego zwykle dostają informacje o nowościach i kodach rabatowych. Tym razem widniał w nim napis „ASOS HACKED”. Wiadomość była skierowana do Data Protection Officer (DPO) i zespołu IT firmy. Napastnicy twierdzili, że „w pełni przejęli instancję Snowflake”, i grozili ujawnieniem danych, jeśli ASOS nie skontaktuje się z nimi za pośrednictwem kanału na Telegramie. 

W ciągu godziny akcje ASOS straciły na wartości ponad 10%. Napastnicy nie opublikowali ani jednego rekordu. 

Co wiemy do tej pory

ASOS potwierdził tego popołudnia, że wysłano nieautoryzowane powiadomienie i że firma bada aktywność na używanych przez siebie platformach zewnętrznych, za pośrednictwem których komunikuje się z klientami. Ograniczyła dostęp do tych platform i poinformowała, że dane obejmujące imiona i nazwiska oraz dane kontaktowe mogły zostać ujawnione. Firma nie uważa, by naruszono dane kart płatniczych lub hasła do kont. 

8 października firma wyjaśniła, w jaki sposób napastnicy uzyskali dostęp. Ktoś podszył się pod zaufaną osobę kontaktową i nakłonił pracownika ASOS do przekazania danych logowania do jego konta służbowego. Dzięki tym danym napastnicy uzyskali dostęp do platform komunikacji z klientami. ASOS powiadomił Information Commissioner’s Office, które ocenia incydent. 

​​Twierdzenie dotyczące Snowflake pozostaje niepotwierdzone. Snowflake informuje, że w wyniku dochodzenia nie stwierdzono naruszenia bezpieczeństwa jej platformy, a grupa stojąca za wiadomością, która określa się jako Xuanye Group, nie opublikowała żadnych przykładowych danych. To, czy w najbliższych dniach pojawią się przykładowe rekordy, w dużej mierze przesądzi o rozstrzygnięciu tej kwestii. Tymczasem brytyjskie National Cyber Security Centre (NCSC) zaleciło klientom ASOS założyć, że mogli zostać poszkodowani, niezależnie od tego, czy otrzymali powiadomienie.​​​ 

Dlaczego AI podnosi poprzeczkę

​​Stawka w tym incydencie jest wyższa, niż sugeruje sam podstawowy zestaw danych. Sprzedawcy detaliczni, rozwijający personalizację opartą na AI, coraz częściej gromadzą dane behawioralne, transakcyjne i demograficzne w jednym profilu klienta. ​Dzięki tym profilom rekomendacje są trafniejsze, a marketing lepiej dopasowany. W rękach napastnika te same dane ułatwiają oszustwa. ​​     ​​ 

​​​​Napastnicy nie muszą już samodzielnie pisać spersonalizowanych wiadomości-wabików. W eksperymencie terenowym z udziałem ponad 7700 osób naukowcy z BIFOLD i TU Berlin, współpracujący z Inria and Ruhr University Bochum, ustalili, że spersonalizowany phishing wygenerowany przez AI osiągnął współczynnik kliknięć 2,4 raza wyższy niż ogólne wiadomości phishingowe​.​​ 

​​​Narzędzia komunikacyjne, które odegrały kluczową rolę w incydencie dotyczącym ASOS, zasługują na równie dużą uwagę. Platformy do angażowania klientów, które segmentują odbiorców, personalizują i wysyłają wiadomości w imieniu sprzedawcy detalicznego, zawierają zarówno dane klientów, jak i umożliwiają jednoczesne dotarcie do każdego z nich. To połączenie sprawia, że same w sobie stają się celem ataku. ​​ 

Szantaż na oczach publiczności

Grupy szantażystów zwykle zaczynają od prywatnej wiadomości skierowanej do ofiary. Negocjacje odbywają się za zamkniętymi drzwiami, a opinia publiczna dowiaduje się o naruszeniu — o ile w ogóle do tego dochodzi — za pośrednictwem witryny z wyciekami lub zgłoszenia do organu regulacyjnego. 

Napastnicy atakujący ASOS odwrócili tę kolejność. Najpierw powiadomili klientów, a media i inwestorzy mogli się temu przyglądać, zanim ASOS cokolwiek potwierdził. Nawet gdyby grupa nie miała żadnych danych, jedno powiadomienie push wywarło presję rynkową na ASOS i skróciło czas, jaki firma miała na publiczną reakcję. To opóźnienie wzbudziło nieufność klientów i zwiększyło presję rynkową na ASOS. 

Wybór kanału dodatkowo potęguje szkody. Klienci wyrażają zgodę na powiadomienia z aplikacji, ponieważ ufają nadawcy. Szkolenia z zakresu świadomości bezpieczeństwa uczą sprawdzać adres nadawcy lub najeżdżać kursorem na link, ale wiadomość dostarczona za pośrednictwem oficjalnej aplikacji na własnym telefonie przechodzi te kontrole. Każde niewłaściwe wykorzystanie tego kanału sprawia, że staje się on mniej wiarygodny w przypadku prawidłowych wiadomości, które sprzedawca detaliczny musi wysyłać, w tym przyszłych powiadomień o naruszeniach bezpieczeństwa. 

Co to oznacza dla klientów

Najbardziej prawdopodobnym następstwem jest phishing. Przestępcy regularnie wykorzystują rozgłos towarzyszący naruszeniom, wysyłając fałszywe oferty zwrotu pieniędzy, prośby o zresetowanie hasła i wiadomości e-mail z powiadomieniami o naruszeniu, które prowadzą do stron wyłudzających dane logowania. Klienci ASOS powinni podchodzić z nieufnością do każdej niespodziewanej wiadomości dotyczącej incydentu, unikać linku do Telegrama i sprawdzać swoje konta, otwierając bezpośrednio aplikację lub witrynę. Zmiana haseł używanych również w innych serwisach oraz włączenie weryfikacji dwuetapowej pozwolą zapobiec najczęstszym próbom przejęcia konta, zanim do nich dojdzie. 

Co to oznacza dla sprzedawców detalicznych

Atakujący nie przedostali się przez stronę internetową ani aplikację ASOS. Skorzystali z danych uwierzytelniających pracownika oraz połączonych z nimi narzędzi zewnętrznych. Powierzchnia ataku sprzedawcy detalicznego obejmuje sieci korporacyjne i deweloperskie, platformy danych klientów, aplikacje SaaS, konta usługowe, narzędzia komunikacyjne oraz dostawców powiązanych z tymi środowiskami. 

Każda organizacja polega na praktykach bezpieczeństwa stosowanych przez swoich dostawców, dlatego należyta staranność jest stałym obowiązkiem. Każda integracja z dostawcą może poszerzyć powierzchnię ataku organizacji i zwiększyć ryzyko, dlatego każdą z nich trzeba starannie oceniać i regularnie weryfikować. Oceny ryzyka należy przeprowadzać już na etapie wyboru dostawcy, a następnie w regularnych odstępach czasu, prowadząc przy tym dokładną ewidencję kont dostawców, które mogą bezpośrednio kontaktować się z klientami. To ciągłe działanie, a nie jednorazowy projekt. Regularne przeglądy pomagają aktualizować ten obraz i identyfikować zmiany, które mogą wiązać się z nowymi zagrożeniami. 

Przeglądy te powinny również obejmować ustalenie, kto ma dostęp do kanałów komunikacji z klientami. Usługi powiadomień push w aplikacjach własnych, bramki SMS i platformy poczty elektronicznej mogą w ciągu kilku sekund dotrzeć do milionów osób, dlatego sprzedawcy detaliczni muszą dokładnie ewidencjonować konta dostawców, które mogą bezpośrednio wysyłać wiadomości do klientów. Powinni zabezpieczyć te konta za pomocą odpornego na phishing uwierzytelniania wieloskładnikowego (MFA) oraz mieć sprawdzoną procedurę szybkiego odbierania dostępu. Zachowanie kontroli nad tymi kanałami daje też sprzedawcom detalicznym zaufany sposób kontaktowania się z klientami i wyjaśniania sytuacji, gdy coś pójdzie nie tak.  

Regulacje zmierzają w tym samym kierunku. Od 11 września 2026 r. unijny Akt o cyberodporności wymaga od producentów produktów zawierających elementy cyfrowe zgłaszania do ENISA i krajowych CSIRT-ów aktywnie wykorzystywanych podatności oraz poważnych incydentów w ciągu 24 godzin. Wymóg ten pociąga teraz sprzedawców detalicznych do odpowiedzialności za bezpieczeństwo aplikacji, które wprowadzają na rynek, ale platformy, za pośrednictwem których wysyłane są wiadomości w tych aplikacjach, często należą do dostawców nieobjętych regulacją. 

​​W przypadku ASOS odbudowa zaufania oznacza pokazanie klientom, że zarówno ich dane, jak i kanały wykorzystywane do kontaktowania się z nimi są bezpieczne. Dla innych sprzedawców detalicznych to wyraźne przypomnienie, by przyjrzeć się relacjom z dostawcami, ustalić, do czego każdy z nich ma dostęp, i upewnić się, że w razie niewłaściwego wykorzystania tego dostępu będą mogli szybko zareagować.​