ביום שלישי בבוקר קיבלו לקוחות של חנות האופנה המקוונת ASOS התראה רגילה למראה באפליקציה. הכותרת הייתה “ASOS HACKED”, והטקסט בכלל לא היה מכוון אליהם: “לממונה על הגנת הפרטיות ולאנשי ה-IT של ASOS, השתלטנו באופן מלא על מערכת הנתונים שלכם. דברו איתנו, או שנדליף אותה.” מתחת לזה הופיע קישור לערוץ טלגרם. עד אחר הצהריים ירדה המניה של ASOS בבורסת לונדון ביותר מ-10 אחוזים.

מה קרה

חנות גדולה לא שולחת את ההתראות שלה מהשרת שלה בלבד. היא מחברת לאפליקציה שירותים חיצוניים של שיווק ודיוור, שמקבלים הרשאה לדחוף הודעות בשמה ישירות לטלפונים של הלקוחות. מי שמשתלט על שירות כזה לא בהכרח נכנס למסד הנתונים של החברה, אבל הוא מקבל לידיים את הרמקול שלה.

ASOS אישרה בהודעה לבורסת לונדון שהיא בודקת “פעילות לא מורשית בפלטפורמות צד שלישי שבהן אנחנו משתמשים כדי לתקשר עם לקוחות”, שהיא חסמה מיד את הגישה לאותן פלטפורמות ושהיא עובדת עם יועצים חיצוניים ועם הרשויות. לפי החברה ייתכן שנחשף מידע בסיסי כמו שמות ופרטי התקשרות, אבל היא אינה מאמינה שפרטי כרטיסי אשראי או סיסמאות של חשבונות נפגעו. האתר והאפליקציה, לדבריה, פועלים כרגיל.

את שאר מה שנכתב בהודעה אף גורם עצמאי לא אימת. הקבוצה שחתמה עליה קוראת לעצמה Xuanye Group, שם שחוקרים שעוקבים אחרי קבוצות סחיטה לא נתקלו בו עד השבוע, והיא לא פרסמה שום דוגמה של מידע. ההודעה טענה לפריצה למערכת של ASOS ב-Snowflake, שירות ענן שחברות מרכזות בו את נתוני הלקוחות שלהן לצורכי ניתוח. מ-Snowflake נמסר שבבדיקה שנפתחה מיד לא נמצאה שום פריצה לפלטפורמה עצמה, ולדברי פיטר ארנץ מ-Malwarebytes החיבור עקיף יותר: ASOS משתמשת לשיווק בכלי שרץ על Snowflake ולא בחשבון ישיר שלה. ב-2024 אכן נגנבו דרך חשבונות Snowflake בלי אימות דו-שלבי פרטים של מאות מיליוני לקוחות, בין היתר ב-Ticketmaster, וזה בדיוק מה שנותן לטענה כזאת אמינות לפני שבדקו אותה.

לדברי שרלוט וילסון מ-Check Point, התוקפים “הפכו את האפליקציה של ASOS עצמה לפתק הכופר שלהם”, והמשקיעים הגיבו עוד לפני שהחברה הספיקה לקבוע מה בכלל קרה. לדברי ג'ייק מור מ-ESET, היכולת לשלוח התראה מוכיחה גישה לחלק מהמערכות המחוברות, אבל לא את היקף הדליפה שהתוקפים מתארים.

למה זה חשוב לכם

ASOS שולחת לישראל והיא אחת החנויות המקוונות המוכרות כאן. שמות, כתובות מייל ומספרי טלפון הם חומר הגלם לפישינג (הודעות מזויפות שמתחזות לגורם אמין כדי לגנוב פרטים), ובמקרה הזה מי שמחזיק בהם יודע גם שאתם קונים בחנות הזאת. מעבר לזה, ההודעה הזאת מלמדת משהו על כל האפליקציות בטלפון: העובדה שהתראה הגיעה מתוך אפליקציה אמיתית לא אומרת שהחברה היא זו שכתבה אותה.

מה עושים?

אל תלחצו על הקישור שבהתראה ואל תיצרו קשר עם ערוץ הטלגרם שמופיע בה. אין שום סיבה שלקוח ידבר עם מי שסוחט את החנות.

החליפו את הסיסמה בחשבון ASOS, וגם בכל מקום אחר שבו השתמשתם באותה סיסמה.

צפו בימים הקרובים לגל הודעות בשם ASOS על “פיצוי”, “החזר כספי” או “אימות הזמנה”. את מצב ההזמנה בדקו רק באפליקציה או באתר שהקלדתם בעצמכם.

החברה אומרת שפרטי האשראי לא נפגעו, ובכל זאת כדאי לעבור על חיובי הכרטיס של השבוע. חיוב שאתם לא מזהים מדווחים לחברת האשראי מיד.

לדבר בשם ASOS אל הלקוחות שלה התוקפים הצליחו. להוכיח את מה שכתבו שם, עדיין לא.