Siber güvenlik uzmanlarının "cüretkar" ve "son derece ciddi" olarak nitelendirdiği bir hamleyle, hack'leyiciler Salı sabahı Asos uygulaması kullanıcılarına "ASOS HACK'LENDİ" yazan bir push bildirimi göndermeyi başardı. Şirketin veri koruma görevlisi ve BT ekiplerine hitaben yazılan mesaj, alıcılara Snowflake örneklerinin "tamamen ele geçirildiğini" bildirdi ve verilerin sızdırılmaması için bir Telegram kanalı üzerinden iletişime geçilmesini talep etti. Çünkü bir kıyafet uygulamasının bildirim sistemini fidye notu olarak kullanmak kadar "biz profesyoneliz" diyen başka bir şey yok.

Düzinelerce müşteri BBC'ye, saat 10:00 sularında (BST) endişe verici mesajı aldıklarını söyledi; bazıları uygulamayı açmaktan "korktuklarını" belirtti. Edinburgh'dan bir analist olan Jodie, başlangıçta bunun tuhaf bir promosyon olduğunu düşündüğünü söyledi: "İlk başta bunun bir reklam ya da 'ASOS HACK'LENDİ, sınırlı süre için her şeyde %50 indirim' gibi eğlenceli bir promosyon olduğunu düşündüm," dedi. "Sonra mesajın geri kalanını okudum ve bunun bir reklam değil, BT'ye yönelik bir mesaj olduğu açıkça görülüyordu." Sheffield Üniversitesi'nden bir öğrenci olan Erin, banka bilgileri, ev adresi ve telefon numarasının ele geçirilmesinden endişe duyduğunu ifade etti ve ihlalin boyutunu sorguladı: "Bildirimi almayanlar da dahil tüm müşteriler etkilendi mi? Asos her açıdan kötü."

Asos, Salı öğleden sonra "yetkisiz müşteri bildirimini" kabul etti ve üçüncü taraf platformları içeren "yetkisiz faaliyeti" araştırdığını belirtti. Şirket, bazı "temel kişisel bilgilere" erişilmiş olabileceğini, ancak ödeme kartı bilgilerinin veya hesap şifrelerinin etkilendiğine inanmadığını söyledi. Salı gecesi müşterilere gönderdiği e-postada Asos özür diledi ve bildirimle etkileşime girmemeleri konusunda uyardı; web sitesinin ve uygulamanın "her zamanki gibi çalıştığını" ve soruşturma devam ederken müşterilerin "güvenle alışveriş yapabileceğini" vaat etti. Şirket henüz Birleşik Krallık'ın veri gözlemcisi olan Bilgi Komiserliği Ofisi'ni (ICO) herhangi bir ihlal konusunda bilgilendirmedi.

Etkilenen müşterilerin kesin sayısı belirsizliğini koruyor, ancak ASOS uygulaması yalnızca Android'de 10 milyondan fazla indirilmiş durumda ve İngiliz perakendeci 150'den fazla pazarda yılda yaklaşık 17 milyon müşteriye hizmet veriyor, bu da potansiyel erişimin önemli olduğunu gösteriyor. Avustralya, Fransa, İsveç ve İrlanda Cumhuriyeti'nden gelen raporlar, bildirimin Birleşik Krallık ile sınırlı olmadığını gösteriyor. Şirketin hisseleri Salı günü yaklaşık yüzde on düştü, çünkü hisse senedi düşüşü kadar "güvenle alışveriş yapın" diyen başka bir şey yok.

Siber güvenlik firması Check Point'in kurumsal başkanı Charlotte Wilson, saldırıyı "son derece ciddi" ve "cüretkar" olarak nitelendirdi ve hack'leyicilerin görünüşe göre "Asos'un kendi uygulamasını fidye notuna dönüştürdüğünü" belirtti. Wilson, müşterilere "korkmamalarını ve ürkmemelerini", ancak şifrelerini değiştirmelerini, bildirimdeki bağlantıya tıklamamalarını ve olası dolandırıcılık e-postalarına veya metinlerine karşı dikkatli olmalarını tavsiye etti. Ulusal Siber Güvenlik Merkezi, Asos'a yardım teklif etti.

Araçları düzinelerce firma tarafından veri toplamak, analiz etmek ve depolamak için kullanılan Snowflake, BBC'ye soruşturmasının devam ettiğini ancak şu ana kadar platformunda "herhangi bir ihlal" bulunmadığını söyledi. Ancak şirketin hizmetleri son yıllarda birçok yüksek profilli veri ihlaline konu oldu. Siber güvenlik uzmanı Jen Ellis, Snowflake'in analiz için birden fazla kaynaktan veri topladığını ve Asos gibi "devasa" bir firmanın insanların küresel olarak nasıl alışveriş yaptığına dair çok fazla veriye sahip olacağını belirtti. Siber güvenlik firması Horizon3'ten Dan Bird, Asos'un uygulama kullanıcılarına push bildirimi göndermenin, saldırganların ele geçirdiğini iddia ettiği Snowflake veri platformundan ayrı olan şirketin bildirim sistemine erişim gerektireceğine dikkat çekti. "Her iki iddia da doğruysa, bu saldırganların birden fazla kapıyı açan kimlik bilgilerini ele geçirdiğini gösterir," dedi.

Olay, siber saldırı tarihinde önemli bir an olarak yerini alabilir, çünkü hack'leyicilerin potansiyel kurbanlar üzerinde baskı kurmak için müşterilerini bilgilendirmesi nadirdir - çoğu gasp özel olarak gerçekleşir.