Когда сообщение с требованием выкупа приходит через ваше же приложение

Утром 6 октября пользователи приложения ASOS в Великобритании и нескольких других странах получили push-уведомление от ритейлера, от которого обычно узнают о новых поступлениях и скидочных промокодах. На этот раз в уведомлении было написано: «ASOS ВЗЛОМАНА». Оно было адресовано сотруднику компании по защите данных (DPO) и ИТ-отделу. Злоумышленники утверждали, что «полностью скомпрометировали экземпляр Snowflake», и угрожали опубликовать данные, если ASOS не свяжется с ними через канал в Telegram. 

В течение часа акции ASOS упали более чем на 10%. Злоумышленники не опубликовали ни одной записи. 

Что известно на данный момент

В тот же день ASOS подтвердила, что было отправлено несанкционированное уведомление и компания расследует активность на сторонних платформах, которые использует для связи с клиентами. Она ограничила доступ к этим платформам и сообщила, что могли быть раскрыты имена и контактные данные. По мнению компании, данные платежных карт и пароли от учетных записей не пострадали. 

8 октября компания объяснила, как злоумышленникам удалось проникнуть в систему. Кто-то выдал себя за доверенное лицо и убедил сотрудника ASOS передать учетные данные для входа в рабочую учетную запись. Эти данные дали злоумышленникам доступ к платформам для общения с клиентами. ASOS уведомила Управление уполномоченного по вопросам информации, которое оценивает произошедшее. 

​​Утверждение о взломе Snowflake пока не подтверждено. Snowflake заявляет, что в ходе расследования не обнаружила компрометации своей платформы, а группа, стоящая за сообщением и называющая себя Xuanye Group, не опубликовала никаких примеров данных. Появление таких образцов в ближайшие дни во многом поможет прояснить ситуацию. Тем временем Национальный центр кибербезопасности Великобритании (NCSC) посоветовал клиентам ASOS исходить из того, что они могли пострадать, независимо от того, получили ли они это уведомление.​​​ 

Почему ИИ повышает ставки

​​Последствия этого инцидента серьезнее, чем можно предположить по базовому набору данных. Ритейлеры, внедряющие персонализацию на основе ИИ, все чаще объединяют поведенческие, транзакционные и демографические данные в единый профиль клиента. ​Такие профили помогают точнее подбирать рекомендации и делать маркетинг более релевантным. В руках злоумышленников те же данные помогают эффективнее заниматься мошенничеством. ​​     ​​ 

​​​​Злоумышленникам больше не нужно вручную составлять адресные приманки. В полевом эксперименте с участием более 7 700 человек исследователи из BIFOLD и TU Berlin совместно с Inria and Ruhr University Bochum выяснили, что персонализированный фишинг, созданный с помощью ИИ, обеспечил в 2,4 раза больше переходов по ссылкам, чем массовый фишинг​.​​ 

​​​Инструменты коммуникации, оказавшиеся в центре инцидента с ASOS, заслуживают такого же внимания. Платформы для взаимодействия с клиентами, которые сегментируют аудиторию, персонализируют сообщения и отправляют их от имени ритейлера, хранят как данные клиентов, так и средства для одновременной связи с каждым из них. В сочетании это делает такие платформы самостоятельной целью для атак. ​​ 

Вымогательство на глазах у публики

Обычно группы вымогателей начинают с личного сообщения жертве. Переговоры ведутся за закрытыми дверями, а общественность узнает об утечке, если узнает вообще, из публикации на сайте с утекшими данными или из отчета для регулирующих органов. 

Злоумышленники, атаковавшие ASOS, поступили наоборот. Сначала они сообщили обо всем клиентам, а затем привлекли внимание СМИ и инвесторов — еще до того, как ASOS что-либо подтвердила. Даже если у группы вообще не было никаких данных, одного push-уведомления хватило, чтобы оказать давление на ASOS и сократить время на публичную реакцию. Эта задержка породила сомнения у клиентов и усилила давление на компанию со стороны рынка. 

Выбор канала усугубляет ущерб. Клиенты разрешают отправлять им уведомления приложения, потому что доверяют отправителю. На тренингах по кибербезопасности учат проверять адрес отправителя или наводить курсор на ссылку, но сообщение, доставленное через официальное приложение на собственном телефоне, проходит эти проверки. Каждое злоупотребление этим каналом подрывает доверие к нему и делает его менее надежным для легитимных сообщений, которые ритейлеру необходимо отправлять, в том числе для будущих уведомлений об утечках. 

Что это значит для клиентов

Вероятнее всего, за этим последуют фишинговые атаки. Преступники регулярно используют огласку вокруг утечки, рассылая поддельные предложения о возврате денег, запросы на сброс пароля и письма с уведомлениями об утечке, которые ведут на страницы для кражи учетных данных. Клиентам ASOS следует с подозрением относиться к любым неожиданным сообщениям об инциденте, не переходить по ссылке на Telegram и проверять свои учетные записи, открывая приложение или сайт напрямую. Смена повторно используемых паролей и включение двухэтапной проверки помогут предотвратить наиболее распространенные попытки захвата учетных записей. 

Что это значит для ритейлеров

Злоумышленники проникли не через сайт или приложение ASOS. Они воспользовались учетными данными сотрудника и подключенными к ним сторонними инструментами. Поверхность атаки розничной компании включает корпоративные сети и сети разработки, платформы клиентских данных, SaaS-приложения, служебные учетные записи, средства коммуникации и поставщиков, подключенных к этим средам. 

Каждая организация зависит от практик своих поставщиков в области безопасности, поэтому проверка поставщиков — это постоянная обязанность. Каждая интеграция с поставщиком может расширить поверхность атаки организации и создать дополнительные риски, поэтому каждую такую интеграцию необходимо тщательно проверять и регулярно пересматривать. Оценку рисков следует проводить при выборе поставщика, а затем — через регулярные промежутки времени; кроме того, нужно вести четкий учет того, какие учетные записи поставщиков могут напрямую связываться с клиентами. Это непрерывная работа, а не разовый проект. Регулярные проверки помогают поддерживать актуальность этой картины и выявлять изменения, способные привести к новым рискам. 

При таких проверках также следует выяснять, кто имеет доступ к каналам связи с клиентами. Сервисы push-уведомлений в собственных приложениях, SMS-шлюзы и платформы электронной почты могут за секунды охватить миллионы людей, поэтому розничным компаниям необходимо четко учитывать, какие учетные записи поставщиков могут отправлять сообщения клиентам напрямую. Эти учетные записи следует защитить с помощью устойчивой к фишингу многофакторной аутентификации (MFA), а также предусмотреть проверенный способ быстро отзывать доступ. Контроль над этими каналами также позволяет розничным компаниям надежно связываться с клиентами и прояснять ситуацию, если что-то пошло не так.  

Регулирование движется в том же направлении. С 11 сентября 2026 года Закон ЕС о киберустойчивости обязывает производителей продуктов с цифровыми компонентами сообщать ENISA и национальным CSIRT о выявленных уязвимостях, которые активно используются злоумышленниками, и серьезных инцидентах в течение 24 часов. Теперь это требование возлагает на розничные компании ответственность за безопасность выпускаемых ими приложений, однако платформы, через которые отправляются сообщения в таких приложениях, зачастую принадлежат поставщикам, на которых действие этого регулирования не распространяется. 

​​Для ASOS восстановление доверия означает необходимость показать клиентам, что защищены и их данные, и каналы связи с ними. Для других розничных компаний это наглядное напоминание о том, что нужно проверить отношения со всеми поставщиками, выяснить, к чему имеет доступ каждый из них, и убедиться, что в случае неправомерного использования такого доступа компания сможет быстро отреагировать.​