ASOS נפרצה: לקוחות קיבלו התראת ״ASOS HACKED״, ושמות ופרטי קשר נגנבו
האקרים השתלטו על פלטפורמה חיצונית שבה ASOS משתמשת לתקשורת עם לקוחות, שלחו התראת פוש מאיימת לאפליקציה וגנבו שמות ופרטי קשר. לפי החברה, כרטיסי אשראי וסיסמאות לא נפגעו.
TL;DR בקצרה
- ב-6 באוקטובר קיבלו משתמשי האפליקציה של ASOS התראה בשם ״ASOS HACKED״ עם איום להדליף מידע.
- ASOS אישרה פריצה לפלטפורמת צד שלישי לתקשורת עם לקוחות, ושמות ופרטי קשר נגנבו.
- לפי החברה, פרטי כרטיסי אשראי וסיסמאות לא נפגעו, והמניה ירדה ביותר מ-10%.
- המקרה מראה כמה מסוכנת גישה לא מוגנת למערכות שליחת ההודעות ללקוחות.
משתמשים באפליקציה של רשת האופנה הבריטית ASOS קיבלו ב-6 באוקטובר התראת פוש חריגה. כותרתה הייתה ״ASOS HACKED״. ההודעה פנתה לממונה על הגנת הפרטיות ולמחלקת ה-IT של החברה. היא טענה שהתוקפים ״פרצו לגמרי״ לסביבת הנתונים של ASOS ב-Snowflake.
בנוסף, ההודעה איימה להדליף את המידע אם החברה לא תיצור קשר. ASOS אישרה שתוקפים חדרו לפלטפורמה חיצונית לתקשורת עם לקוחות. לדבריה, התוקפים השיגו שמות ופרטי קשר של לקוחות.
מה ASOS אישרה, ומה עדיין לא ברור
ASOS פרסמה בערב 6 באוקטובר הודעה לבורסה של לונדון. בהודעה היא תיארה ״פעילות לא מורשית״ בפלטפורמות צד שלישי. פלטפורמות אלה משמשות אותה לשליחת הודעות ללקוחות.
החברה מסרה שהגבילה את הגישה לפלטפורמות ההתראות. לפי הערכתה, פרטי כרטיסי אשראי וסיסמאות לא הושפעו, והאתר והאפליקציה פועלים כרגיל. מניית החברה ירדה באותו יום ביותר מ-10%.
ב-8 באוקטובר דיווח TechCrunch שהחברה מאשרת: התוקפים גנבו בפועל שמות ופרטי קשר. לפי BBC News, שאותו מצטט TechCrunch, המידע כולל גם כתובות מגורים ומספרי טלפון. הוא כולל גם כתובות אימייל והערות בפרופיל, כמו חיפושים באתר.
עוד לפי הדיווח, BleepingComputer מסר שהתוקפים נכנסו לסביבת ה-Snowflake של ASOS. הם עשו זאת אחרי שהתחזו לגורם מוכר, כדי להשיג פרטי התחברות. Snowflake עצמה מסרה שלא איתרה פריצה לפלטפורמה שלה. החברה לא מסרה כמה לקוחות הושפעו. לפי האתר של ASOS יש לה כ-17 מיליון לקוחות.
מאחורי ההודעה עומדת קבוצה שקוראת לעצמה Xuanye Group. הקבוצה פתחה לשם כך ערוץ טלגרם חדש. מומחים שעוקבים אחרי קבוצות סחיטה לא הכירו את השם. לדברי Daniel dos Santos מחברת Forescout, השם מרמז על גורם שדובר סינית. אבל אולי זה ניסיון הטעיה.
למה מערכת ההתראות היא מטרה כל כך שווה
הפרט המעניין הוא לא רק מה שהתוקפים גנבו, אלא הדרך שבה הם הודיעו על כך. מערכות שליחת פוש, אימייל ו-SMS מחזיקות ערוץ ישיר לכל הלקוחות. רוב החברות מפעילות אותן דרך ספקים חיצוניים.
מי שמשיג גישה אליהן יכול לשלוח הודעה בשם המותג לכל המכשירים בבת אחת. ASOS לא הראשונה. בינואר 2026 פרצו תוקפים לחברת ההשקעות Betterment דרך פלטפורמת שיווק חיצונית. הם שלחו ללקוחות הודעה על הונאת קריפטו.
במקרה של ASOS התוקפים בחרו בהשפלה פומבית כדי ללחוץ על החברה. אבל אותה גישה יכלה לשמש לשליחת קישור פישינג. הקישור היה נראה אמין לגמרי, כי הוא מגיע מהאפליקציה הרשמית.
גם הטענה על Snowflake מוכרת. לפי SecurityWeek, ב-2024 פרצה קבוצת ShinyHunters ליותר מ-160 סביבות Snowflake של לקוחות. הקבוצה השתמשה בפרטי גישה שגנבו נוזקות. היא לא פרצה ל-Snowflake עצמה. הלקח זהה: הספק יכול להיות מאובטח, והחשבון שלכם אצלו לא.
מה זה אומר עבורכם
- לקוחות ASOS, היזהרו מפישינג. לפי החברה, סיסמאות ואמצעי תשלום לא הושפעו. אבל מי שמחזיק בשם, בכתובת ובטלפון שלכם יכול לנסח הודעה משכנעת. אל תלחצו על קישורים בהודעות ״החזר כספי״ או ״אימות חשבון״. היכנסו רק דרך האפליקציה או האתר הרשמי.
- סיסמה משותפת? החליפו. גם אם התוקפים לא גנבו סיסמה, מי שמשתמש בה גם באתרים אחרים צריך להחליף אותה. כדאי גם להפעיל אימות דו-שלבי.
- בעלי עסקים, מפו את ספקי ההודעות. רשמו מי יכול לשלוח ללקוחות בשמכם פוש, אימייל, SMS או WhatsApp. רשמו גם את הספק ואת החשבונות שדרכם הם פועלים.
- הקשיחו את החשבונות האלה. אימות דו-שלבי הוא חובה. השאירו מינימום משתמשים עם הרשאת שליחה, והגדירו התראה על כל שליחה חריגה. אותו דבר לגבי מחסני נתונים בענן כמו Snowflake.
- הכינו תסריט תגובה. החליטו מראש מה אומרים ללקוחות ובאיזה ערוץ, אם הודעה זדונית יוצאת בשמכם. ASOS פרסמה הודעה רשמית כבר באותו ערב.
מה הלאה עבור ASOS
ASOS מסרה שהיא עובדת עם יועצים ועם כל הרשויות הרלוונטיות. לדבריה, בשלב זה קשה להעריך את ההשפעה על המכירות. הקבוצה שמאחורי ההודעה כתבה בטלגרם שלא תפרסם את המידע ״לתקופה מוגדרת״. היא לא הציגה ראיות או דוגמאות. שווה לעקוב אם יופיעו דגימות של נתונים, כי אז נדע בבירור מה בדיוק בידיהם.
מקורות והרחבה
- ASOS Confirms Cyberattack, Data BreachSecurityWeek
- ASOS confirms breach of customer data after hackers send rogue app notificationTechCrunch
- ASOS push notification apparently sent by hackersThe Record
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
