Коли повідомлення з вимогою викупу надходить через ваш власний застосунок

Вранці 6 жовтня користувачі застосунку ASOS у Великій Британії та на кількох інших ринках отримали push-сповіщення від ритейлера, від якого зазвичай дізнаються про новинки та коди знижок. Цього разу в ньому було написано «ASOS ЗЛАМАНО». Повідомлення було адресоване фахівцю із захисту даних (DPO) компанії та її ІТ-команді. У ньому стверджувалося, що зловмисники «повністю скомпрометували інстанс Snowflake», і містилася погроза оприлюднити дані, якщо ASOS не зв’яжеться з ними через канал у Telegram. 

Протягом години акції ASOS впали більш ніж на 10%. Зловмисники не оприлюднили жодного запису. 

Що відомо наразі

ASOS підтвердила того ж дня, що було надіслано несанкціоноване сповіщення і що компанія розслідує активність на сторонніх платформах, які використовує для спілкування з клієнтами. Вона обмежила доступ до цих платформ і повідомила, що могли бути розкриті імена та контактні дані. Компанія не вважає, що постраждали дані платіжних карток або паролі до облікових записів. 

8 жовтня компанія пояснила, як зловмисникам вдалося проникнути в систему. Хтось видав себе за довірену особу й переконав працівника ASOS надати облікові дані для входу в робочий обліковий запис. Ці дані дали зловмисникам доступ до платформ для спілкування з клієнтами. ASOS повідомила про інцидент Information Commissioner’s Office, яке зараз його оцінює. 

​​Твердження про Snowflake досі не підтверджене. Snowflake заявляє, що під час розслідування не виявила компрометації своєї платформи, а група, яка стоїть за повідомленням і називає себе Xuanye Group, не оприлюднила жодних зразків даних. Поява таких зразків у найближчі дні значною мірою допоможе з’ясувати, що сталося. Тим часом Національний центр кібербезпеки Великої Британії (NCSC) порадив клієнтам ASOS вважати, що вони могли постраждати, незалежно від того, чи отримували вони це сповіщення.​​​ 

Як ШІ підвищує ставки

​​Наслідки цього інциденту можуть бути серйознішими, ніж випливає з базового набору даних. Ритейлери, які впроваджують персоналізацію на основі ШІ, дедалі частіше об’єднують поведінкові, транзакційні та демографічні дані в єдиний профіль клієнта. ​Завдяки таким профілям рекомендації стають точнішими, а маркетинг — релевантнішим. У руках зловмисників ці дані так само допомагають шахраювати. ​​     ​​ 

​​​​Зловмисникам більше не потрібно вручну складати персоналізовані фішингові повідомлення. У польовому експерименті за участю понад 7 700 осіб дослідники з BIFOLD і TU Berlin, які співпрацювали з Inria та Ruhr University Bochum, з’ясували, що персоналізований фішинг, створений за допомогою ШІ, забезпечував у 2,4 раза вищу частоту переходів за посиланнями, ніж звичайний фішинг​.​​ 

​​​Засоби комунікації, що опинилися в центрі інциденту з ASOS, потребують такої самої уваги. Платформи для взаємодії з клієнтами, які сегментують аудиторію, персоналізують повідомлення та надсилають їх від імені ритейлера, містять і дані клієнтів, і засоби, що дають змогу одночасно охопити кожного з них. Саме це поєднання робить такі платформи самостійною ціллю для зловмисників. ​​ 

Вимагання на очах у всіх

Злочинні угруповання, що займаються вимаганням, зазвичай починають із приватного повідомлення жертві. Переговори відбуваються за зачиненими дверима, а громадськість дізнається про витік даних, якщо взагалі дізнається, із сайту для оприлюднення викраденої інформації або з повідомлення регулятору. 

Зловмисники, які атакували ASOS, змінили звичний порядок дій. Спершу вони звернулися до клієнтів, а потім привернули увагу ЗМІ та інвесторів — ще до того, як ASOS щось підтвердила. Навіть якби група взагалі не мала жодних даних, одного push-сповіщення вистачило, щоб посилити тиск на ASOS і скоротити час, який компанія мала для публічної відповіді. Ця затримка викликала сумніви у клієнтів і посилила тиск ринку на ASOS. 

Вибір каналу посилює шкоду. Клієнти погоджуються отримувати сповіщення від застосунку, бо довіряють відправникові. Під час навчання з кібербезпеки людей вчать перевіряти адресу відправника або наводити курсор на посилання, але повідомлення, надіслане через справжній застосунок на їхньому телефоні, проходить ці перевірки. Кожне зловживання таким каналом підриває довіру до нього й робить його менш надійним для важливих повідомлень ритейлера, зокрема майбутніх сповіщень про витік даних. 

Що це означає для клієнтів

Найімовірніше, далі відбуватимуться фішингові атаки. Злочинці регулярно використовують розголос навколо витоку даних, надсилаючи фальшиві пропозиції повернути кошти, запити на скидання пароля та повідомлення про витік, які ведуть на сторінки для викрадення облікових даних. Клієнтам ASOS варто з підозрою ставитися до будь-яких неочікуваних повідомлень про цей інцидент, не переходити за посиланням у Telegram і перевіряти свої облікові записи, відкриваючи застосунок або вебсайт безпосередньо. Зміна паролів, які використовуються повторно, та ввімкнення двоетапної перевірки допоможуть запобігти найпоширенішим спробам захоплення облікових записів ще до їх початку. 

Що це означає для ритейлерів

Зловмисники проникли не через вебсайт або застосунок ASOS. Вони скористалися обліковими даними працівника та пов’язаними з ними сторонніми інструментами. Поверхня атаки роздрібного продавця охоплює корпоративні мережі й мережі розробки, платформи даних клієнтів, SaaS-застосунки, службові облікові записи, засоби комунікації та постачальників, пов’язаних із цими середовищами. 

Кожна організація залежить від практик безпеки своїх постачальників, тому належна перевірка має бути безперервним обов’язком. Кожна інтеграція з постачальником може розширити поверхню атаки організації та створити додатковий ризик, тож кожну з них потрібно ретельно перевіряти й регулярно переглядати. Оцінювання ризиків слід проводити під час вибору постачальника та через регулярні проміжки часу після цього, а також вести чіткий облік облікових записів постачальників, які можуть безпосередньо зв’язуватися з клієнтами. Це постійна робота, а не одноразовий проєкт. Регулярні перевірки допомагають підтримувати актуальність цієї інформації та виявляти зміни, що можуть створити нові ризики. 

Під час таких перевірок також слід з’ясовувати, хто має доступ до каналів зв’язку з клієнтами. Служби push-сповіщень у власних застосунках, шлюзи SMS і платформи електронної пошти можуть за лічені секунди охопити мільйони людей, тому роздрібним продавцям потрібно чітко обліковувати, які облікові записи постачальників можуть надсилати повідомлення безпосередньо клієнтам. Ці облікові записи слід захищати за допомогою багатофакторної автентифікації (MFA), стійкої до фішингу, а також мати перевірений спосіб швидко відкликати доступ. Контроль над цими каналами також дає роздрібним продавцям надійний спосіб зв’язатися з клієнтами й пояснити ситуацію, якщо щось піде не так.  

Регулювання розвивається в тому самому напрямі. Із 11 вересня 2026 року Закон ЄС про кіберстійкість зобов’язує виробників продуктів із цифровими компонентами повідомляти ENISA та національні CSIRT про активно експлуатовані вразливості й серйозні інциденти протягом 24 годин. Тепер ця вимога покладає на роздрібних продавців відповідальність за безпеку застосунків, які вони випускають, однак платформи, через які надсилають повідомлення в цих застосунках, часто належать постачальникам, на яких дія регулювання не поширюється. 

​​Для ASOS відновлення довіри означає продемонструвати клієнтам, що захищено і їхні дані, і канали, якими з ними зв’язуються. Для інших роздрібних продавців це чітке нагадування про необхідність переглянути всі відносини з постачальниками, з’ясувати, до чого має доступ кожен із них, і переконатися, що вони зможуть швидко відреагувати, якщо цим доступом скористаються зловмисно.​