När utpressningsbrevet kommer via din egen app

På morgonen den 6 oktober fick användare av ASOS-appen i Storbritannien och på flera andra marknader en pushnotis från återförsäljaren, som de vanligtvis hör från om nyheter och rabattkoder. Den här löd ”ASOS HACKED”. Den var adresserad till företagets Data Protection Officer (DPO) och IT-team och påstod att angriparna hade ”fullständigt komprometterat Snowflake-instansen”. De hotade att läcka data om inte ASOS tog kontakt via en Telegram-kanal. 

Inom en timme hade ASOS-aktien sjunkit med mer än 10 %. Angriparna hade inte publicerat en enda post. 

Vad vi vet hittills

ASOS bekräftade samma eftermiddag att en obehörig notis hade skickats och att företaget utredde aktivitet på tredjepartsplattformar som det använder för att kommunicera med kunder. Företaget begränsade åtkomsten till plattformarna och uppgav att namn och kontaktuppgifter kan ha röjts. Det tror inte att betalkortsuppgifter eller kontolösenord påverkades. 

Den 8 oktober förklarade företaget hur angriparna tog sig in. Någon utgav sig för att vara en betrodd kontakt och övertalade en ASOS-anställd att lämna ut inloggningsuppgifterna till sitt arbetskonto. Uppgifterna gav angriparna åtkomst till kundkommunikationsplattformarna. ASOS har underrättat Information Commissioner’s Office, som utreder incidenten. 

​​Påståendet om Snowflake är fortfarande obekräftat. Snowflake uppger att företagets utredning inte fann några tecken på att plattformen hade komprometterats, och gruppen bakom meddelandet, som kallar sig Xuanye Group, har inte släppt några exempel på data. Om exempelposter dyker upp under de kommande dagarna kommer det att bidra mycket till att avgöra frågan. Under tiden har Storbritanniens National Cyber Security Centre (NCSC) uppmanat ASOS-kunder att utgå från att de kan vara drabbade, oavsett om de fick notisen eller inte.​​​ 

Varför AI höjer ribban

​​Konsekvenserna av den här incidenten är större än vad den grundläggande datamängden antyder. Återförsäljare som utvecklar AI-driven personalisering samlar i allt högre grad beteendedata, transaktionsdata och demografiska uppgifter i en enda kundprofil. ​Profilerna gör rekommendationerna mer träffsäkra och marknadsföringen mer relevant. I händerna på en angripare kan de på samma sätt användas för bedrägerier. ​​     ​​ 

​​​​Angripare behöver inte längre själva skriva skräddarsydda lockbeten. I ett fältexperiment med fler än 7 700 deltagare fann forskare från BIFOLD och TU Berlin, i samarbete med Inria and Ruhr University Bochum, att personanpassade nätfiskemeddelanden som skapats med AI fick 2,4 gånger så hög klickfrekvens som generiska nätfiskemeddelanden​.​​ 

​​​Kommunikationsverktygen som stod i centrum för ASOS-incidenten förtjänar samma uppmärksamhet. Plattformar för kundengagemang som segmenterar målgrupper, anpassar innehåll och skickar meddelanden på en återförsäljares vägnar innehåller både kunddata och möjligheten att nå alla kunder samtidigt. Den kombinationen gör dem till ett mål i sin egen rätt. ​​ 

Utpressning inför publik

Utpressningsgrupper brukar inleda med ett privat meddelande till offret. Förhandlingarna sker bakom stängda dörrar, och allmänheten får reda på ett dataintrång, om den alls får veta något, via en läcksajt eller en myndighetsanmälan. 

Angriparna bakom ASOS vände på ordningen. De berättade för kunderna först och fick medier och investerare att följa händelsen innan ASOS hade bekräftat något. Även om gruppen inte hade någon data alls skapade en enda pushnotis marknadspress på ASOS och kortade företagets tid att svara offentligt. Den fördröjningen väckte tvivel bland kunderna och ökade marknadspressen på ASOS. 

Valet av kanal förvärrar skadan. Kunder väljer att ta emot appnotiser eftersom de litar på avsändaren. Säkerhetsutbildning lär människor att kontrollera avsändaradressen eller hålla pekaren över en länk, men ett meddelande som levereras via den äkta appen på deras egen telefon klarar de kontrollerna. Varje gång kanalen missbrukas blir den mindre tillförlitlig för de legitima meddelanden som en återförsäljare behöver skicka, däribland framtida meddelanden om dataintrång. 

Vad det här innebär för kunder

Den mest sannolika följden är nätfiske. Kriminella utnyttjar rutinmässigt uppmärksamheten kring ett dataintrång genom att skicka falska erbjudanden om återbetalning, begäranden om lösenordsåterställning och mejl som utger sig för att vara meddelanden om dataintrång och leder till sidor som samlar in inloggningsuppgifter. ASOS-kunder bör vara misstänksamma mot oväntade meddelanden om incidenten, undvika Telegram-länken och kontrollera sina konton genom att öppna appen eller webbplatsen direkt. Om de byter lösenord som de återanvänder och aktiverar tvåstegsverifiering kan de vanligaste försöken att kapa konton stoppas innan de börjar. 

Vad det här innebär för återförsäljare

Angriparna tog sig inte in via ASOS webbplats eller app. De använde en medarbetares inloggningsuppgifter och de tredjepartsverktyg som var kopplade till dem. En återförsäljares angreppsyta omfattar företags- och utvecklingsnätverk, kunddataplattformar, SaaS-applikationer, tjänstekonton, kommunikationsverktyg och leverantörerna som är anslutna till dessa miljöer. 

Varje organisation är beroende av sina leverantörers säkerhetsrutiner, vilket gör granskningen av dem till en fortlöpande skyldighet. Varje leverantörsintegration kan utöka en organisations angreppsyta och medföra ytterligare risker, så varje integration behöver granskas noggrant och regelbundet. Riskbedömningar bör göras när leverantörer väljs ut och sedan med jämna mellanrum, samtidigt som man för ett tydligt register över vilka leverantörskonton som kan nå kunder direkt. Det här är ett fortlöpande arbete, inte ett engångsprojekt. Regelbundna granskningar bidrar till att hålla bilden aktuell och identifiera förändringar som kan medföra nya risker. 

Granskningarna bör också omfatta vilka som har åtkomst till kommunikationskanaler för kunder. Pushnotistjänster i egna appar, SMS-gateways och e-postplattformar kan nå miljontals människor på några sekunder, så återförsäljare behöver ett tydligt register över vilka leverantörskonton som kan skicka meddelanden direkt till kunder. De bör skydda kontona med nätfiskeresistent flerfaktorsautentisering (MFA) och ha en testad rutin för att snabbt återkalla åtkomst. Genom att behålla kontrollen över dessa kanaler får återförsäljare också ett tillförlitligt sätt att nå kunderna och reda ut vad som hänt när något går fel.  

Regleringen verkar i samma riktning. Sedan den 11 september 2026 har EU:s cyberresiliensförordning krävt att tillverkare av produkter med digitala element rapporterar aktivt utnyttjade sårbarheter och allvarliga incidenter till ENISA och nationella CSIRT-enheter inom 24 timmar. Detta krav håller nu återförsäljare ansvariga för säkerheten i de appar de ger ut, men plattformarna som skickar meddelanden via dessa appar finns ofta hos leverantörer som inte omfattas av förordningen. 

​​För ASOS innebär det att återuppbygga förtroendet att visa kunderna att både deras data och kanalerna som används för att nå dem är säkra. För andra återförsäljare är detta en tydlig påminnelse om att se över sina leverantörsrelationer, förstå vad varje leverantör har åtkomst till och säkerställa att de snabbt kan agera om åtkomsten missbrukas.​