Hackerlar Asos müşterilerine şirketin kendi uygulamasından mesaj gönderdi: adresler, telefonlar ve aramalar çalındı

İngiliz moda devi Asos'un müşterileri, uygulamada şirketin yazmadığı bir bildirim aldı. Mesaj kişisel verilerin korunmasından sorumlu yetkiliye ve BT departmanına hitap ediyordu ve hackerların şirketin Snowflake üzerinde tutulan verilerini "tamamen ele geçirdiğini" söylüyordu. Bir ültimatomla bitiyordu: "Bizimle konuşun, yoksa yayımlarız."

Şirket bir siber saldırıya uğradığını doğruladı. Asos, Londra Borsası'na yaptığı bildirimde saldırganların, müşterilerle iletişim için kullandığı verilerin tutulduğu üçüncü taraf bir platforma girdiğini ve isimlerle iletişim bilgilerinin alındığını açıkladı. BBC'ye göre liste daha uzun: ev adresleri, telefon numaraları, e-posta adresleri ve sitedeki aramalar da dahil olmak üzere kullanıcı profillerindeki notlar.

Nasıl girdiler? Bleeping Computer'a göre hackerlar kendilerini güvenilir bir irtibat kişisi olarak tanıttı ve Snowflake giriş bilgilerine bu şekilde ulaştı. Snowflake ise kendi sistemlerinin ihlal edilmediğini söylüyor. Asos hesabının çok faktörlü kimlik doğrulamayla korunup korunmadığı da, saldırganların - çoğu zaman başka, dışarıdan bir firmanın yönettiği - uygulama içi bildirim sistemine nasıl ulaştığı da belli değil.

Grup kendini Xuanye Group olarak imzalıyor ve şimdilik elinde ne kadar veri olduğunu söylemiyor. Asos ise kendi sitesinde 17 milyon müşteri belirtiyor. Onlar mesajın gerçek alıcıları değildi - şirketi pazarlık masasına oturtmak için kullanılan bir megafondu.

Senaryo yeni değil. Bu yılın başlarında fintek şirketi Betterment de benzer şekilde saldırıya uğradı: hackerlar dışarıdan bir pazarlama platformu üzerinden müşterilere şirket adına sahte bir kripto teklifi gönderdi. Yöntem aynı - kaleye değil, arka kapının anahtarı elinde olan tedarikçiye saldırılıyor. Sipariş verdiğimiz online mağazaların kaçı adreslerimizi hiç duymadığımız üçüncü taraflarda saklıyor?