Când nota de răscumpărare sosește prin propria aplicație

În dimineața zilei de 6 octombrie, utilizatorii aplicației ASOS din Regatul Unit și din alte câteva piețe au primit o notificare push de la retailerul de la care primesc de obicei vești despre noile colecții și codurile de reducere. De data aceasta, mesajul spunea „ASOS A FOST HACKAT”. Era adresat responsabilului cu protecția datelor (Data Protection Officer (DPO)) și echipei IT a companiei, susținea că atacatorii „compromiseseră complet instanța Snowflake” și amenința că datele vor fi divulgate dacă ASOS nu îi contactează printr-un canal Telegram. 

În decurs de o oră, acțiunile ASOS scăzuseră cu peste 10%. Atacatorii nu publicaseră nici măcar o înregistrare. 

Ce știm până acum

ASOS a confirmat în acea după-amiază că fusese trimisă o notificare neautorizată și că investiga activitatea de pe platformele terțe pe care le folosește pentru a comunica cu clienții. A restricționat accesul la aceste platforme și a declarat că este posibil să fi fost expuse nume și date de contact. Compania nu crede că au fost afectate datele cardurilor de plată sau parolele conturilor. 

Pe 8 octombrie, compania a explicat cum au pătruns atacatorii în sistem. Cineva s-a dat drept o persoană de încredere și a convins un angajat ASOS să îi dea datele de autentificare pentru contul său de serviciu. Aceste date le-au oferit atacatorilor acces la platformele de comunicare cu clienții. ASOS a notificat Biroul Comisarului pentru Informații, care evaluează incidentul. 

​​Afirmația privind Snowflake rămâne nedovedită. Snowflake susține că, în urma investigației, nu a găsit nicio compromitere a platformei sale, iar grupul din spatele mesajului, care se numește Xuanye Group, nu a publicat nicio mostră de date. Apariția unor înregistrări de probă în zilele următoare va contribui în mare măsură la clarificarea situației. Între timp, Centrul Național pentru Securitate Cibernetică din Regatul Unit (NCSC) i-a sfătuit pe clienții ASOS să presupună că este posibil să fie afectați, indiferent dacă au primit sau nu notificarea.​​​ 

De ce IA ridică ștacheta

​​Miza incidentului este mai mare decât sugerează setul de date de bază. Retailerii care dezvoltă personalizarea bazată pe IA centralizează tot mai des date comportamentale, tranzacționale și demografice într-un singur profil de client. ​Aceste profiluri permit recomandări mai precise și un marketing mai relevant. În mâinile unui atacator, ele pot fi folosite la fel de eficient și în scopuri frauduloase. ​​     ​​ 

​​​​Atacatorii nu mai trebuie să redacteze manual mesaje-capcană personalizate. Într-un experiment de teren cu peste 7.700 de participanți, cercetătorii de la BIFOLD și TU Berlin, în colaborare cu Inria și Ruhr University Bochum, au constatat că phishingul personalizat, generat cu IA, a obținut o rată de clic de 2,4 ori mai mare decât phishingul generic​.​​ 

​​​Instrumentele de comunicare aflate în centrul incidentului ASOS merită aceeași atenție. Platformele de interacțiune cu clienții, care îi segmentează, personalizează comunicarea și trimit mesaje în numele unui retailer, dețin atât datele clienților, cât și mijloacele de a-i contacta pe toți simultan. Această combinație le transformă în ținte de sine stătătoare. ​​ 

Extorcarea în văzul tuturor

Grupările care practică extorcarea încep de obicei prin a trimite victimei un mesaj privat. Negocierile au loc cu ușile închise, iar publicul află despre o breșă, dacă află, de pe un site de divulgare a datelor sau dintr-o raportare către autorități. 

Atacatorii ASOS au inversat ordinea. Le-au spus mai întâi clienților, atrăgând atenția presei și a investitorilor înainte ca ASOS să fi confirmat ceva. Chiar dacă grupul nu deținea deloc date, o singură notificare push a creat presiune de piață asupra ASOS și i-a redus timpul disponibil pentru a răspunde public. Această întârziere a alimentat neîncrederea clienților și a pus presiune pe ASOS pe piață. 

Alegerea canalului amplifică daunele. Clienții acceptă să primească notificări de la aplicație pentru că au încredere în expeditor. Instruirea privind securitatea îi învață să verifice adresa expeditorului sau să treacă cursorul peste un link, însă un mesaj livrat prin aplicația autentică de pe propriul telefon trece aceste verificări. Fiecare utilizare abuzivă a acestui canal îl face mai puțin fiabil pentru mesajele legitime pe care un retailer trebuie să le trimită, inclusiv pentru viitoarele notificări despre breșe. 

Ce înseamnă acest lucru pentru clienți

Cea mai probabilă consecință este o campanie de phishing. Infractorii profită în mod regulat de mediatizarea unei breșe, trimițând oferte false de rambursare, solicitări de resetare a parolei și e-mailuri care pretind că notifică despre breșă și direcționează către pagini de colectare a datelor de autentificare. Clienții ASOS ar trebui să trateze cu suspiciune orice mesaj neașteptat despre incident, să evite linkul Telegram și să își verifice conturile deschizând direct aplicația sau site-ul. Schimbarea parolelor reutilizate și activarea verificării în doi pași vor opri cele mai frecvente tentative de preluare a conturilor înainte să înceapă. 

Ce înseamnă acest lucru pentru retaileri

Atacatorii nu au pătruns prin site-ul sau aplicația ASOS. Au folosit datele de autentificare ale unui angajat și instrumentele terțe conectate la acestea. Suprafața de atac a unui retailer include rețelele corporative și de dezvoltare, platformele de date despre clienți, aplicațiile SaaS, conturile de serviciu, instrumentele de comunicare și furnizorii conectați la aceste medii. 

Fiecare organizație depinde de practicile de securitate ale furnizorilor săi, ceea ce face din verificarea prealabilă o obligație continuă. Fiecare integrare cu un furnizor poate extinde suprafața de atac a unei organizații și poate introduce riscuri suplimentare, așadar fiecare integrare trebuie verificată cu atenție și reevaluată periodic. Evaluările riscurilor trebuie efectuate în momentul selectării unui furnizor și apoi la intervale regulate, iar organizația trebuie să păstreze o evidență clară a conturilor furnizorilor care pot ajunge direct la clienți. Este un efort continuu, nu un proiect punctual. Evaluările periodice ajută la menținerea unei imagini actualizate și la identificarea schimbărilor care ar putea introduce riscuri noi. 

Aceste evaluări ar trebui să stabilească și cine are acces la canalele de comunicare cu clienții. Serviciile de notificări push prin aplicațiile proprii, gateway-urile SMS și platformele de e-mail pot ajunge la milioane de oameni în câteva secunde, așa că retailerii trebuie să țină o evidență clară a conturilor furnizorilor care pot trimite mesaje direct clienților. Ei ar trebui să protejeze aceste conturi prin autentificare multifactor rezistentă la phishing și să aibă o metodă testată pentru revocarea rapidă a accesului. Controlul acestor canale le oferă, de asemenea, retailerilor o modalitate de încredere de a lua legătura cu clienții și de a clarifica situația atunci când ceva nu merge bine.  

Reglementările merg în aceeași direcție. Începând cu 11 septembrie 2026, Actul UE privind reziliența cibernetică le impune producătorilor de produse cu elemente digitale să raporteze către ENISA și echipele naționale CSIRT vulnerabilitățile exploatate în mod activ și incidentele grave în termen de 24 de ore. Această cerință îi trage acum la răspundere pe retaileri pentru securitatea aplicațiilor pe care le lansează, însă platformele prin care se trimit mesaje prin aceste aplicații sunt adesea gestionate de furnizori asupra cărora reglementarea nu se aplică. 

​​Pentru ASOS, reconstruirea încrederii înseamnă să le arate clienților că atât datele lor, cât și canalele folosite pentru a lua legătura cu ei sunt securizate. Pentru ceilalți retaileri, acesta este un avertisment clar: să-și analizeze relațiile cu furnizorii, să înțeleagă la ce poate avea acces fiecare furnizor și să se asigure că pot reacționa rapid dacă acest acces este folosit în mod abuziv.​