Fidye Notu Kendi Uygulamanız Üzerinden Geldiğinde

6 Ekim sabahı, Birleşik Krallık’taki ve diğer bazı pazarlardaki ASOS uygulaması kullanıcılarına, normalde yeni ürünler ve indirim kodlarıyla ilgili bildirimler aldıkları perakendeciden bir anlık bildirim geldi. Bu bildirimin üzerinde “ASOS HACKLENDİ” yazıyordu. Şirketin Data Protection Officer (DPO) ve BT ekibine gönderilen mesajda, saldırganların “Snowflake örneğinin kontrolünü tamamen ele geçirdiği” iddia ediliyor ve ASOS’un bir Telegram kanalından iletişime geçmemesi hâlinde verileri sızdırmakla tehdit ediliyordu. 

Bir saat içinde ASOS hisseleri %10’dan fazla değer kaybetti. Saldırganlar henüz tek bir kayıt bile yayımlamamıştı. 

Şimdiye Kadar Bildiklerimiz

ASOS, doğruladı: O öğleden sonra yetkisiz bir bildirim gönderilmişti ve şirket, müşterilerle iletişim kurmak için kullandığı üçüncü taraf platformlardaki faaliyetleri inceliyordu. Bu platformlara erişimi kısıtladı ve adların ve iletişim bilgilerinin açığa çıkmış olabileceğini belirtti. Ödeme kartı verilerinin veya hesap parolalarının etkilenmiş olduğuna inanmıyor. 

Şirket, 8 Ekim’de saldırganların sisteme nasıl girdiğini açıkladı. Güvenilir bir kişi gibi davranan biri, bir ASOS çalışanını iş hesabının giriş bilgilerini vermeye ikna etti. Bu bilgiler saldırganlara müşteri iletişim platformlarına erişim sağladı. ASOS, olayı incelemekte olan Information Commissioner’s Office’e bildirimde bulundu. 

​​Snowflake’le ilgili iddia henüz kanıtlanmış değil. Snowflake, platformuna yönelik incelemesinde herhangi bir güvenlik ihlali tespit etmediğini ve mesajın arkasındaki, kendisini Xuanye Group olarak tanıtan grubun henüz örnek veri yayımlamadığını söylüyor. Önümüzdeki günlerde örnek kayıtların ortaya çıkıp çıkmaması, bu sorunun yanıtını büyük ölçüde belirleyecek. Bu arada Birleşik Krallık Ulusal Siber Güvenlik Merkezi (NCSC), ASOS müşterilerine tavsiyede bulundu: Bildirimi alıp almadıklarına bakılmaksızın etkilenmiş olabileceklerini varsaymaları gerekiyor.​​​ 

Yapay Zekâ Neden Tehdit Düzeyini Artırıyor?

​​Olayın riskleri, temel veri kümesinin düşündürdüğünden daha büyük. Yapay zekâ destekli kişiselleştirme çalışmaları yürüten perakendeciler; davranışsal, işlemsel ve demografik verileri giderek daha fazla tek bir müşteri profilinde bir araya getiriyor. ​Bu profiller, önerilerin daha isabetli, pazarlamanın ise daha alakalı olmasını sağlıyor. Saldırganların elinde aynı profiller dolandırıcılığı da daha etkili hâle getiriyor. ​​     ​​ 

​​​​Saldırganların artık hedefe özel oltalama mesajlarını elle yazması gerekmiyor. BIFOLD ve TU Berlin’den araştırmacılar, Inria ve Ruhr University Bochum ile birlikte 7.700’den fazla katılımcının yer aldığı bir saha deneyinde, kişiselleştirilmiş, yapay zekâ tarafından oluşturulmuş oltalama mesajlarının tıklanma oranının genel nitelikli oltalama mesajlarınınkinden 2,4 kat daha yüksek olduğunu​ buldu.​​ 

​​​ASOS olayının merkezindeki iletişim araçları da aynı ölçüde dikkati hak ediyor. Müşterileri gruplara ayıran, kişiselleştirme yapan ve perakendeci adına mesaj gönderen müşteri etkileşim platformları hem müşteri verilerini hem de tüm müşterilere aynı anda ulaşma imkânını barındırıyor. Bu birleşim, onları başlı başına bir hedef hâline getiriyor. ​​ 

Geniş Kitlelerin Önünde Şantaj

Şantaj çeteleri genellikle kurbana özel bir mesaj göndererek işe başlar. Müzakereler kapalı kapılar ardında yürütülür; kamuoyu bir veri ihlalinden haberdar olursa, bunu genellikle bir sızıntı sitesi veya düzenleyici kuruma yapılan bildirim aracılığıyla öğrenir. 

ASOS saldırganları bu sırayı tersine çevirdi. ASOS henüz hiçbir şeyi doğrulamadan müşterilere haber verdiler; medya ve yatırımcıları da olup biteni izlemeye çağırdılar. Grubun elinde hiçbir veri olmasa bile, tek bir anlık bildirim ASOS üzerinde piyasa baskısı yarattı ve şirketin kamuoyuna yanıt vermek için sahip olduğu süreyi kısalttı. Bu gecikme, müşterilerde şüphe uyandırdı ve ASOS üzerindeki piyasa baskısını artırdı. 

Kanal seçimi de zararı artırıyor. Müşteriler, gönderene güvendikleri için uygulama bildirimlerini almayı kabul ediyor. Güvenlik farkındalığı eğitimlerinde insanlara gönderenin adresini kontrol etmeleri veya bağlantının üzerine gelmeleri öğretiliyor; ancak kendi telefonlarındaki gerçek uygulama üzerinden iletilen bir mesaj bu kontrolleri geçiyor. Bu kanalın her kötüye kullanımı, perakendecinin göndermesi gereken meşru mesajlar (gelecekteki veri ihlali bildirimleri de dâhil) için ona duyulan güveni azaltıyor. 

Bu, Müşteriler İçin Ne Anlama Geliyor?

En olası devamı oltalama girişimleri olacak. Suçlular, bir ihlal çevresindeki tanıtımdan düzenli olarak yararlanarak kullanıcıları kimlik bilgilerini ele geçirmeye yönelik sayfalara yönlendiren sahte para iadesi teklifleri, parola sıfırlama istekleri ve veri ihlali bildirim e-postaları gönderiyor. ASOS müşterileri, olayla ilgili beklenmedik mesajlara şüpheyle yaklaşmalı, Telegram bağlantısından kaçınmalı ve uygulamayı ya da web sitesini doğrudan açarak hesaplarını kontrol etmeli. Daha önce başka yerlerde kullanılmış parolaları değiştirmek ve iki adımlı doğrulamayı etkinleştirmek, hesapların ele geçirilmesine yönelik en yaygın girişimleri başlamadan durduracaktır. 

Bu, Perakendeciler İçin Ne Anlama Geliyor?

Saldırganlar ASOS’un web sitesi veya uygulaması üzerinden gelmedi. Bir çalışanın kimlik bilgileri ve bu bilgilere bağlı üçüncü taraf araçlar üzerinden geldiler. Bir perakendecinin saldırı yüzeyi; kurumsal ve geliştirme ağlarını, müşteri veri platformlarını, SaaS uygulamalarını, hizmet hesaplarını, iletişim araçlarını ve bu ortamlara bağlı tedarikçileri kapsar. 

Her kuruluş, tedarikçilerinin güvenlik uygulamalarına bağımlıdır; bu nedenle gerekli özeni gösterme yükümlülüğü süreklidir. Her tedarikçi entegrasyonu, bir kuruluşun saldırı yüzeyini genişletebilir ve ek riskler doğurabilir; bu yüzden her entegrasyon dikkatle incelenmeli ve düzenli olarak gözden geçirilmelidir. Risk değerlendirmeleri, tedarikçi seçimi sırasında ve sonrasında düzenli aralıklarla yapılmalı; hangi tedarikçi hesaplarının müşterilere doğrudan ulaşabildiği açıkça kayda geçirilmelidir. Bu, tek seferlik bir proje değil, devam eden bir çalışmadır. Düzenli incelemeler, bu tablonun güncel tutulmasına ve yeni riskler doğurabilecek değişikliklerin belirlenmesine yardımcı olur. 

Bu incelemeler, müşteri iletişim kanallarına kimlerin erişebildiğini de kapsamalıdır. Kuruluşlara ait uygulamalar üzerinden sunulan anlık bildirim hizmetleri, SMS ağ geçitleri ve e-posta platformları saniyeler içinde milyonlarca kişiye ulaşabilir; bu nedenle perakendeciler, müşterilere doğrudan mesaj gönderebilen tedarikçi hesaplarını açıkça kayda geçirmelidir. Bu hesapları kimlik avına dayanıklı çok faktörlü kimlik doğrulamayla (MFA) korumalı ve erişimi hızla iptal etmek için test edilmiş bir yönteme sahip olmalıdırlar. Bu kanallar üzerindeki denetimi korumak, bir sorun çıktığında perakendecilere müşterilere güvenilir biçimde ulaşma ve gerçeği açıklığa kavuşturma olanağı da sağlar.  

Düzenlemeler de aynı yönde ilerliyor. 11 Eylül 2026’dan bu yana AB Siber Dayanıklılık Yasası, dijital bileşenler içeren ürünlerin üreticilerinin aktif olarak istismar edilen güvenlik açıklarını ve ciddi olayları 24 saat içinde ENISA’ya ve ulusal CSIRT’lere bildirmesini zorunlu kılıyor. Bu gereklilik artık perakendecileri gönderdikleri uygulamaların güvenliğinden sorumlu tutuyor, ancak bu uygulamalar üzerinden mesaj gönderen platformlar çoğu zaman düzenlemenin kapsamadığı tedarikçilerin bünyesinde bulunuyor. 

​​ASOS için güveni yeniden tesis etmek, müşterilere hem verilerinin hem de onlara ulaşmak için kullanılan kanalların güvende olduğunu göstermeyi gerektiriyor. Diğer perakendeciler içinse bu, tedarikçi ilişkilerini kapsamlı biçimde gözden geçirmeleri, her sağlayıcının nelere erişebildiğini anlamaları ve bu erişimin kötüye kullanılması durumunda hızla karşılık verebileceklerinden emin olmaları gerektiğini açıkça hatırlatıyor.​