W ruchu, który eksperci ds. cyberbezpieczeństwa nazywają „bezczelnym” i „głęboko poważnym”, hakerzy zdołali wysłać we wtorek rano powiadomienie push do użytkowników aplikacji Asos o treści „ASOS HACKED”. Wiadomość, zaadresowana do inspektora ochrony danych i zespołów IT firmy, informowała odbiorców, że ich instancja Snowflake została „w pełni skompromitowana”, i żądała kontaktu przez kanał Telegram, pod groźbą wycieku danych. Bo nic nie mówi „jesteśmy profesjonalistami” tak jak użycie systemu powiadomień aplikacji odzieżowej jako listu z okupem.

Dziesiątki klientów powiedziały BBC, że otrzymały niepokojącą wiadomość około 10:00 czasu brytyjskiego, a niektórzy stwierdzili, że bali się otworzyć aplikację. Jodie, analityczka z Edynburga, początkowo myślała, że to dziwna promocja: „Najpierw pomyślałam, że to reklama albo zabawna promocja w stylu »ASOS HACKED – 50% zniżki na wszystko tylko przez ograniczony czas«” – powiedziała. „Potem przeczytałam resztę wiadomości, która jasno pokazywała, że to nie reklama, tylko wiadomość do IT”. Erin, studentka Uniwersytetu w Sheffield, wyraziła obawę o swoje dane bankowe, adres domowy i numer telefonu oraz zakwestionowała skalę naruszenia: „Czy dotyczy to wszystkich klientów, nawet tych, którzy nie dostali powiadomienia? To słabe ze strony Asos pod każdym względem”.

Asos potwierdził „nieautoryzowane powiadomienie do klientów” we wtorek po południu, informując, że bada „nieautoryzowaną aktywność” z udziałem platform zewnętrznych. Firma podała, że mogły zostać ujawnione pewne „podstawowe dane osobowe”, ale nie sądzi, by doszło do naruszenia danych kart płatniczych lub haseł do kont. W e-mailu do klientów we wtorek wieczorem Asos przeprosił i zaapelował, by nie reagować na powiadomienie, obiecując, że strona i aplikacja „działają normalnie”, a klienci mogą „kupować z zaufaniem”, podczas gdy śledztwo trwa. Firma nie poinformowała jeszcze brytyjskiego organu nadzorującego ochronę danych, Information Commissioner’s Office (ICO), o jakimkolwiek naruszeniu.

Dokładna liczba poszkodowanych klientów pozostaje niejasna, ale ponieważ aplikacja ASOS została pobrana ponad 10 milionów razy tylko na Androida, a brytyjski detalista obsługuje około 17 milionów klientów rocznie w ponad 150 rynkach, potencjalny zasięg jest znaczący. Doniesienia z Australii, Francji, Szwecji i Republiki Irlandii wskazują, że powiadomienie nie ograniczyło się do Wielkiej Brytanii. Akcje spółki spadły we wtorek o około jedną dziesiątą, bo nic nie mówi „kupuj z zaufaniem” tak jak spadek kursu.

Charlotte Wilson, szefowa działu enterprise w firmie cyberbezpieczeństwa Check Point, nazwała atak „głęboko poważnym” i „bezczelnym”, zauważając, że hakerzy najwyraźniej „zamienili własną aplikację Asos w swój list z okupem”. Doradziła klientom, by nie bali się i nie czuli przerażenia, ale zmienili hasła, nie klikali linku z powiadomienia i zachowali ostrożność wobec możliwych oszukańczych e-maili lub SMS-ów. National Cyber Security Centre zaoferowało Asos pomoc.

Snowflake, którego narzędzia są używane przez dziesiątki firm do zbierania, analizowania i przechowywania danych, powiedział BBC, że jego śledztwo trwa, ale jak dotąd nie znalazło „żadnego naruszenia” swojej platformy. Jednak usługi tej firmy były w ostatnich latach przedmiotem wielu głośnych naruszeń danych. Ekspertka ds. cyberbezpieczeństwa Jen Ellis zauważyła, że Snowflake zbiera dane z wielu źródeł do analizy, a „ogromna” firma taka jak Asos będzie miała mnóstwo danych o tym, jak ludzie robią zakupy na całym świecie. Dan Bird z firmy cyberbezpieczeństwa Horizon3 wskazał, że wysłanie powiadomienia push do użytkowników aplikacji Asos wymagałoby dostępu do systemu powiadomień firmy, który jest oddzielony od platformy danych Snowflake, którą rzekomo skompromitowali napastnicy. „Jeśli oba twierdzenia się potwierdzą, sugeruje to, że napastnicy zdobyli poświadczenia, które otworzyły więcej niż jedne drzwi” – powiedział.

Incydent może przejść do historii jako znaczący moment w dziejach cyberataków, ponieważ hakerzy próbujący wywrzeć presję na potencjalne ofiary poprzez informowanie ich klientów są rzadkością – większość wymuszeń odbywa się prywatnie.