Khi tin nhắn đòi tiền chuộc xuất hiện ngay trong ứng dụng của bạn

Sáng ngày 6 tháng 10, người dùng ứng dụng ASOS tại Vương quốc Anh và một số thị trường khác nhận được thông báo đẩy từ nhà bán lẻ mà họ thường nhận tin về hàng mới và mã giảm giá. Lần này, thông báo ghi: “ASOS BỊ TẤN CÔNG.” Thông báo được gửi đến cán bộ bảo vệ dữ liệu (DPO) và đội ngũ CNTT của công ty, tuyên bố rằng kẻ tấn công đã “chiếm quyền kiểm soát hoàn toàn phiên bản Snowflake” và đe dọa rò rỉ dữ liệu nếu ASOS không liên hệ qua một kênh Telegram. 

Chỉ trong vòng một giờ, cổ phiếu ASOS đã giảm hơn 10%. Kẻ tấn công chưa công bố dù chỉ một hồ sơ nào. 

Những gì chúng ta biết đến nay

ASOS xác nhận vào chiều hôm đó rằng một thông báo trái phép đã được gửi đi và công ty đang điều tra hoạt động trên các nền tảng bên thứ ba được sử dụng để liên lạc với khách hàng. ASOS đã hạn chế quyền truy cập vào các nền tảng này và cho biết tên cùng thông tin liên hệ có thể đã bị lộ. Công ty không cho rằng dữ liệu thẻ thanh toán hoặc mật khẩu tài khoản bị ảnh hưởng. 

Ngày 8 tháng 10, công ty giải thích cách kẻ tấn công xâm nhập. Một người đã giả danh một mối liên hệ đáng tin cậy và thuyết phục một nhân viên ASOS giao thông tin đăng nhập tài khoản công việc của mình. Những thông tin này giúp kẻ tấn công truy cập vào các nền tảng liên lạc với khách hàng. ASOS đã thông báo cho Văn phòng Ủy viên Thông tin, cơ quan đang đánh giá sự việc. 

​​Tuyên bố liên quan đến Snowflake vẫn chưa được chứng minh. Snowflake cho biết cuộc điều tra của họ không phát hiện nền tảng bị xâm nhập, còn nhóm đứng sau thông điệp, tự xưng là Xuanye Group, chưa công bố dữ liệu mẫu nào. Việc có xuất hiện hồ sơ mẫu trong những ngày tới hay không sẽ góp phần quan trọng làm sáng tỏ vấn đề. Trong lúc chờ đợi, Trung tâm An ninh mạng Quốc gia Vương quốc Anh (NCSC) đã khuyến cáo khách hàng ASOS nên cho rằng mình có thể bị ảnh hưởng, bất kể họ có nhận được thông báo hay không.​​​ 

Vì sao AI làm gia tăng rủi ro

​​Mức độ nghiêm trọng của sự việc này lớn hơn những gì bộ dữ liệu cơ bản cho thấy. Các nhà bán lẻ phát triển hoạt động cá nhân hóa dựa trên AI ngày càng tập trung dữ liệu hành vi, giao dịch và nhân khẩu học vào một hồ sơ khách hàng duy nhất. ​Những hồ sơ đó giúp đề xuất chính xác hơn và hoạt động tiếp thị phù hợp hơn. Nhưng nếu rơi vào tay kẻ tấn công, chúng cũng giúp các hành vi gian lận trở nên tinh vi hơn. ​​     ​​ 

​​​​Kẻ tấn công không còn phải tự viết từng chiêu dụ dỗ được cá nhân hóa. Trong một thử nghiệm thực địa với hơn 7.700 người tham gia, các nhà nghiên cứu thuộc BIFOLD và TU Berlin, phối hợp với Inria và Ruhr University Bochum, phát hiện rằng các cuộc tấn công lừa đảo được cá nhân hóa và tạo bằng AI có tỷ lệ nhấp cao gấp 2,4 lần so với các cuộc tấn công lừa đảo đại trà​.​​ 

​​​Các công cụ liên lạc ở trung tâm vụ việc ASOS cũng cần được quan tâm tương tự. Những nền tảng tương tác khách hàng thay mặt nhà bán lẻ phân khúc đối tượng, cá nhân hóa và gửi thông điệp nắm giữ cả dữ liệu khách hàng lẫn phương tiện để tiếp cận tất cả khách hàng cùng lúc. Sự kết hợp đó khiến chúng tự thân trở thành mục tiêu. ​​ 

Tống tiền trước công chúng

Các nhóm tống tiền thường bắt đầu bằng một thông điệp riêng gửi cho nạn nhân. Việc thương lượng diễn ra kín đáo, còn công chúng biết đến vụ xâm phạm—nếu có—thông qua trang web rò rỉ dữ liệu hoặc hồ sơ gửi cơ quan quản lý. 

Kẻ tấn công ASOS đã đảo ngược trình tự đó. Chúng báo cho khách hàng trước, đồng thời kéo truyền thông và nhà đầu tư vào cuộc để theo dõi, trước khi ASOS xác nhận bất cứ điều gì. Ngay cả khi nhóm này hoàn toàn không nắm giữ dữ liệu, chỉ một thông báo đẩy cũng đủ gây áp lực thị trường lên ASOS và rút ngắn thời gian công ty có thể phản hồi công khai. Sự chậm trễ đó khiến khách hàng hoài nghi và gây áp lực thị trường lên ASOS. 

Việc lựa chọn kênh liên lạc càng làm tổn hại thêm. Khách hàng bật nhận thông báo từ ứng dụng vì tin tưởng người gửi. Các chương trình đào tạo nâng cao nhận thức bảo mật hướng dẫn mọi người kiểm tra địa chỉ người gửi hoặc di chuột qua liên kết, nhưng tin nhắn gửi qua ứng dụng chính thức trên điện thoại của họ vẫn vượt qua được những bước kiểm tra đó. Mỗi lần kênh này bị sử dụng sai mục đích, khách hàng lại càng khó tin cậy vào nó khi nhận những thông điệp hợp pháp mà nhà bán lẻ cần gửi, bao gồm cả thông báo về các vụ xâm phạm dữ liệu trong tương lai. 

Điều này có ý nghĩa gì với khách hàng

Hệ quả tiếp theo có khả năng xảy ra nhất là các cuộc tấn công lừa đảo. Tội phạm thường lợi dụng sự chú ý của công chúng dành cho một vụ xâm phạm để gửi lời mời nhận tiền hoàn lại giả mạo, yêu cầu đặt lại mật khẩu và email thông báo về vụ xâm phạm dẫn đến các trang web thu thập thông tin đăng nhập. Khách hàng ASOS nên cảnh giác với mọi tin nhắn bất ngờ liên quan đến sự việc, tránh nhấp vào liên kết Telegram và kiểm tra tài khoản bằng cách tự mở ứng dụng hoặc trang web. Thay đổi các mật khẩu đã dùng lại ở nhiều nơi và bật xác minh hai bước sẽ ngăn chặn những nỗ lực chiếm đoạt tài khoản phổ biến nhất trước khi chúng xảy ra. 

Điều này có ý nghĩa gì với các nhà bán lẻ

Kẻ tấn công không xâm nhập thông qua trang web hay ứng dụng ASOS. Chúng sử dụng thông tin đăng nhập của một nhân viên và các công cụ bên thứ ba được kết nối với những thông tin đó. Bề mặt tấn công của một nhà bán lẻ bao gồm mạng lưới doanh nghiệp và mạng lưới phát triển, nền tảng dữ liệu khách hàng, ứng dụng SaaS, tài khoản dịch vụ, công cụ liên lạc và các nhà cung cấp được kết nối với những môi trường này. 

Mọi tổ chức đều phụ thuộc vào các biện pháp bảo mật của nhà cung cấp, nên việc thẩm định là nghĩa vụ thường xuyên. Mỗi tích hợp với nhà cung cấp đều có thể mở rộng bề mặt tấn công của tổ chức và làm phát sinh thêm rủi ro, vì vậy cần thẩm định kỹ lưỡng và đánh giá định kỳ từng tích hợp. Cần đánh giá rủi ro ngay khi lựa chọn nhà cung cấp và định kỳ sau đó, đồng thời lưu hồ sơ rõ ràng về những tài khoản của nhà cung cấp có thể trực tiếp tiếp cận khách hàng. Đây là nỗ lực liên tục, không phải dự án chỉ thực hiện một lần. Việc rà soát thường xuyên giúp cập nhật thông tin và phát hiện những thay đổi có thể làm phát sinh rủi ro mới. 

Những đợt rà soát này cũng cần xác định ai có quyền truy cập các kênh liên lạc với khách hàng. Dịch vụ gửi thông báo đẩy qua ứng dụng do nhà bán lẻ sở hữu, cổng SMS và nền tảng email có thể tiếp cận hàng triệu người chỉ trong vài giây, vì vậy nhà bán lẻ cần lưu hồ sơ rõ ràng về những tài khoản của nhà cung cấp có thể gửi tin nhắn trực tiếp cho khách hàng. Họ cần bảo vệ các tài khoản đó bằng phương thức MFA chống lừa đảo và có sẵn quy trình đã được kiểm thử để nhanh chóng thu hồi quyền truy cập. Việc kiểm soát các kênh này cũng giúp nhà bán lẻ có một phương thức đáng tin cậy để liên hệ với khách hàng và đính chính thông tin khi xảy ra sự cố.  

Các quy định cũng đang thúc đẩy theo cùng một hướng. Kể từ ngày 11 tháng 9 năm 2026, Đạo luật về khả năng phục hồi không gian mạng của EU yêu cầu nhà sản xuất các sản phẩm có yếu tố kỹ thuật số báo cáo các lỗ hổng đang bị khai thác tích cực và các sự cố nghiêm trọng cho ENISA cùng các CSIRT quốc gia trong vòng 24 giờ. Yêu cầu này hiện buộc các nhà bán lẻ phải chịu trách nhiệm về bảo mật của các ứng dụng họ phát hành, nhưng các nền tảng gửi tin nhắn thông qua những ứng dụng đó thường do những nhà cung cấp mà quy định này không áp dụng quản lý. 

​​Đối với ASOS, xây dựng lại niềm tin đồng nghĩa với việc cho khách hàng thấy rằng cả dữ liệu của họ lẫn các kênh được dùng để liên hệ với họ đều an toàn. Với các nhà bán lẻ khác, đây là lời nhắc nhở rõ ràng rằng họ cần rà soát các mối quan hệ với nhà cung cấp, hiểu rõ mỗi đơn vị có thể truy cập những gì và bảo đảm có thể ứng phó nhanh chóng nếu quyền truy cập đó bị lạm dụng.​