De Britse modewinkel ASOS heeft onthuld dat het recente datalek begon met een social engineering-aanval waarbij hackers een medewerker misleidden om zijn accountgegevens af te geven.
Het bedrijf maakte de bevindingen bekend op 8 oktober, twee dagen nadat klanten een ongeautoriseerde melding hadden ontvangen via de officiële ASOS-mobiele app. Het incident bracht klantinformatie bloot en riep vragen op over hoe aanvallers controle kregen over een communicatiekanaal dat door de retailer werd gebruikt.
Volgens ASOS deden de aanvallers zich voor als een vertrouwd contact om de inloggegevens van een medewerker te verkrijgen. Vervolgens gebruikten ze het gecompromitteerde account om toegang te krijgen tot externe platforms waarop ASOS vertrouwt voor communicatie met klanten.
Deze techniek, bekend als social engineering, houdt in dat iemand wordt gemanipuleerd om gevoelige informatie te onthullen of toegang te verlenen. In plaats van direct misbruik te maken van een softwarekwetsbaarheid, maken criminelen misbruik van iemands vertrouwen om beveiligingsmaatregelen te omzeilen.
ASOS bevestigde dat de aanvallers toegang hadden gehad tot basisinformatie van persoonlijke informatie, waaronder klantnamen en contactgegevens. Bepaalde niet-persoonlijke accountinformatie werd ook openbaar, waarbij meldingen aangaven dat dit ook recente zoekopdrachten van klanten in hun boodschappen omvatte.
De retailer zei echter dat het onderzoek geen bewijs had gevonden dat klantwachtwoorden of betaalkaartgegevens waren gecompromitteerd.
De aanval werd voor het eerst zichtbaar op 6 oktober toen klanten een pushmelding ontvingen waarin werd beweerd dat ASOS was gehackt. Het bericht dreigde informatie te lekken tenzij het bedrijf contact zou opnemen met de aanvallers via Telegram.
Een groep die zichzelf Xuanye Group noemt eiste de verantwoordelijkheid op en beweerde dat zij de omgeving van ASOS in Snowflake had gecompromitteerd. Die specifieke bewering is niet bevestigd, en Snowflake heeft gezegd geen bewijs te hebben gevonden dat hun eigen platform was gecompromitteerd.
Na het incident beperkte ASOS de toegang tot de getroffen externe platforms en startte een onderzoek waarbij interne en externe cybersecurityspecialisten betrokken waren. Het bedrijf werkt ook samen met wetshandhavings- en regelgevende instanties.
ASOS heeft klanten verzekerd dat de website en mobiele app gedurende het incident veilig te gebruiken bleven. Het heeft gebruikers niet gevraagd hun wachtwoorden te resetten of direct actie te ondernemen op hun accounts.
Desalniettemin waarschuwde de verkoper klanten om voorzichtig te blijven met onverwachte telefoontjes, e-mails of sms’jes die beweerden van ASOS te komen. Zichtbare contactinformatie kan gerichte phishingpogingen overtuigender maken.
ASOS zegt dat het rechtstreeks contact zal opnemen met klanten als het lopende onderzoek bewijst dat er behoefte is aan extra ondersteuning of beschermende maatregelen.