Asos підтверджує витік даних клієнтів після надсилання хакерами фейкового сповіщення в застосунку

Компанія Asos офіційно повідомила Лондонську фондову біржу про інцидент кібербезпеки. Згідно з повідомленням, хакери отримали доступ до інформації, розміщеної на сторонній платформі, яку Asos використовує для взаємодії зі своїми клієнтами. Цей витік став відомим після того, як зловмисники використали власний додаток компанії для розсилки повідомлень про компрометацію.

Викрадені дані включають імена та контактну інформацію клієнтів. За даними ЗМІ, до них також входять домашні адреси, номери телефонів, електронні адреси та навіть нотатки, що стосуються профілів користувачів, зокрема їхні пошукові запити на вебсайті. Asos налічує близько 17 мільйонів клієнтів, проте обсяг викрадених даних поки не уточнюється хакерською групою Xuanye Group, яка взяла на себе відповідальність за атаку.

Хакери відправили «несанкціоноване сповіщення клієнтам» через додаток Asos, в якому стверджувалося, що вони «повністю скомпрометували» дані, розміщені на платформі Snowflake. Snowflake – це технологічна компанія, яка дозволяє корпоративним клієнтам аналізувати великі обсяги даних. У повідомленні містилася вимога до компанії Asos «взаємодіяти» із зловмисниками, інакше викрадені дані будуть оприлюднені. Snowflake, зі свого боку, заявила, що її власні системи не були скомпрометовані.

Інцидент із Asos не є поодиноким. Раніше цього року подібна атака торкнулася фінтех-компанії Betterment, де хакери також використали доступ до сторонньої маркетингової платформи для надсилання шахрайських повідомлень про криптовалюту її клієнтам. Тоді було викрадено імена, електронні адреси та номери телефонів клієнтів. Ці випадки підкреслюють зростаючу вразливість компаній через їхню залежність від сторонніх сервісів для зберігання та обробки даних.

Що це означає: Для компаній це сигнал до перегляду та посилення політики безпеки даних, особливо щодо взаємодії зі сторонніми постачальниками послуг. Це включає впровадження багатофакторної автентифікації та регулярний аудит захисту інформації. Для клієнтів ризик полягає у можливому використанні їхніх персональних даних для шахрайства, фішингових атак або спаму, що вимагає підвищеної пильності до невідомих повідомлень та запитів.