گزارش‌های جدید نشان می‌دهد که حجم داده‌های سرقت شده از خرده‌فروشی جهانی ASOS بسیار گسترده‌تر از آن چیزی است که این شرکت در ابتدا اعلام کرده بود. در حالی که ASOS پیش‌تر تنها به نشت «اطلاعات پایه» اشاره کرده بود، بررسی‌های تکمیلی نشان می‌دهد که جزئیات دقیقی از پروفایل مشتریان و حتی رفتارهای خرید آن‌ها به دست مهاجمان افتاده است.
جزئیات فنی حمله و بردار نفوذ
طبق تایید ASOS، عامل تهدید (Threat Actor) ابتدا موفق شد یک کارمند را فریب داده و اعتبارنامه‌های ورود (Login Credentials) او را سرقت کند. این دسترسی غیرمجاز سپس برای نفوذ به پلتفرم‌های شخص ثالث (Third-party Platforms) که توسط ASOS برای تحلیل داده‌ها استفاده می‌شد، به کار گرفته شد.
مهاجمان ادعا کردند که از طریق Simon AI (پلتفرمی برای شخصی‌سازی تجربه مشتری که بر بستر Snowflake ساخته شده است) به داده‌ها دسترسی یافته‌اند. با این حال، شرکت Snowflake اعلام کرده است که هیچ نقصی در سطح پلتفرم اصلی رخ نداده و این حادثه نتیجه استفاده از اعتبارنامه‌های سرقت شده است، نه وجود یک آسیب‌پذیری (Vulnerability) در زیرساخت Snowflake یا Simon AI.
دامنه داده‌های سرقت شده
برخلاف اظهارات اولیه شرکت، داده‌های اکسپوز شده شامل موارد زیر است:
- نام و آدرس منزل
- شماره تلفن و آدرس ایمیل
- شماره مشتری و تاریخ تولد
- تاریخچه جستجوهای کاربران در وب‌سایت ASOS (به عنوان مثال، عباراتی نظیر “reclaimed vintage” یا “Asos petite”)
- تاریخ شروع استفاده از خدمات ASOS
پاسخ سازمانی و مخاطرات امنیتی
یکی از نقاط ضعف جدی در مدیریت این بحران، نحوه اطلاع‌رسانی بود؛ کاربران ابتدا از طریق یک Push Notification ارسالی توسط خودِ مهاجمان از نشت داده‌ها مطلع شدند و ساعت‌ها طول کشید تا ASOS بیانیه رسمی خود را منتشر کند. مهاجمان با درخواست باج (Ransom) در ازای حذف داده‌ها، شرکت را تحت فشار قرار داده‌اند.
تحلیل ریسک برای کاربران و سازمان‌ها
اگرچه اطلاعات کارت‌های بانکی و رمزهای عبور مشتریان سرقت نشده است، اما دسترسی به تاریخچه جستجوها و علایق خرید، بستر را برای حملات فیشینگ (Phishing) بسیار هدفمند و متقاعدکننده فراهم می‌کند. مهاجمان می‌توانند با ارسال پیام‌هایی که حاوی جزئیات دقیق خرید کاربر است، اعتماد قربانی را جلب کرده و او را به سرقت اطلاعات حساس‌تر یا نصب بدافزار ترغیب کنند.
