Wie der Vorfall ablief
ASOS teilte am Donnerstag mit, eine unbefugte Partei habe sich Zugang zu einem Mitarbeiterkonto von ASOS verschafft, indem sie sich als vertrauenswürdiger Kontakt ausgab, um Anmeldedaten zu erlangen. Mit diesen Zugangsdaten wurde anschließend auf Informationen auf Drittplattformen zugegriffen, die der Einzelhändler nutzt. In seiner am Donnerstagmorgen an die Kunden verschickten E-Mail erklärte ASOS, man habe in den vergangenen 48 Stunden eine detaillierte Untersuchung durchgeführt. Das Unternehmen erklärte, es arbeite mit den zuständigen Strafverfolgungs- und Aufsichtsbehörden zusammen und habe bereits zusätzliche Maßnahmen ergriffen, um seine Sicherheitskontrollen zu stärken.
Die betroffenen Plattformen wurden unverzüglich gesperrt, sodass keine weiteren Informationen abgerufen werden konnten.
Welche Daten offengelegt wurden
ASOS erklärte, der Angreifer habe Zugang zu einigen personenbezogenen Daten erhalten, darunter Namen und Kontaktdaten, sowie zu dem, was das Unternehmen „bestimmte nicht personenbezogene kontobezogene Informationen“ nannte, ohne näher zu erläutern, um was es sich dabei handelte. Zahlungskarteninformationen oder Kontopasswörter wurden nicht abgerufen, so das Unternehmen. Cyberkriminelle, die sich an BBC News wandten, behaupteten, der Vorfall umfasse auch Kundenadressen, Telefonnummern, E-Mail-Adressen und Kundennummern. Wie viele Kunden in den Niederlanden betroffen sind, ist noch nicht bekannt. ASOS erklärte, man werde die Kunden direkt kontaktieren, sobald die Untersuchung abgeschlossen sei, falls weitere Informationen, Unterstützung oder Maßnahmen erforderlich sein sollten.
Die Benachrichtigung am Dienstag
Tausende App-Nutzer erhielten am Dienstagmorgen eine Push-Benachrichtigung mit dem Titel „Asos hacked“, die zu einem Telegram-Konto führte. Die Nachricht war an „Dear ASOS DPO and IT“ adressiert und besagte, die Hacker hätten die Snowflake-Instanz „vollständig kompromittiert“; sie endete mit „Nehmt Kontakt mit uns auf, oder wir veröffentlichen die Daten.“ Die Gruppe nennt sich selbst Xuanye Group, und Cybersicherheitsexperten erklärten, sie hätten noch nie von ihr gehört und die Push-Benachrichtigung könne ein Versuch sein, größere Aufmerksamkeit zu erlangen. Der Telegram-Kanal teilte den Kunden mit, die Zahlungsinformationen seien nicht betroffen. Die Hacker haben nicht angegeben, über wie viele Daten sie verfügen. Laut ihrer Website hat ASOS 17 Millionen Kunden.
- Push-Benachrichtigung „Asos hacked“ erreicht App-Nutzer und verlinkt auf ein Telegram-Konto
- ASOS informiert Kunden per E-Mail, dass eine unbefugte Partei auf personenbezogene Daten zugegriffen hat
Marktreaktion und die Antwort von Snowflake
Die ASOS-Aktie fiel nach der Benachrichtigung am Dienstag um etwa 10 %. Am Donnerstag stieg sie um 3 % und verringerte damit die Verluste der Woche auf 8 %. Snowflake erklärte, man habe nach Einleitung einer Untersuchung der Benachrichtigung „keine Kompromittierung“ seiner Plattform festgestellt. Diese Aussage widerspricht der Behauptung der Hacker, die Snowflake-Instanz sei vollständig kompromittiert worden.
Ein breiteres Muster von Angriffen
Social-Engineering-Aktionen, bei denen Hacker sich als Mitarbeiter ausgeben, um Zugang zu den Computernetzen von Unternehmen zu erlangen, sind weit verbreitet. Britische Unternehmen und Institutionen sind in den vergangenen Jahren zunehmend Opfer aggressiver und regelmäßiger Cyber- und Ransomware-Angriffe geworden. Die British Library, ein Blutuntersuchungsdienst, die London Underground, Marks & Spencer, die Co-op und Jaguar Land Rover mussten wegen solcher Vorfälle monatelange Störungen hinnehmen. ASOS reiht sich nun in die Liste britischer Organisationen ein, die in diesem Jahr eine Datenschutzverletzung offengelegt haben.