Британский онлайн-ритейлер одежды Asos подтвердил утечку персональных данных клиентов. Хакеры получили доступ к системе компании и использовали ее приложение, чтобы самостоятельно отправить пользователям уведомление о взломе. Сообщения затем начали распространяться в социальных сетях.
Как сообщила Asos в заявлении для Лондонской фондовой биржи, злоумышленники проникли на стороннюю платформу, где хранились данные для связи компании с покупателями. В результате были похищены имена и контактная информация клиентов. По данным BBC News, среди скомпрометированных сведений оказались домашние адреса, номера телефонов и электронная почта.
Кроме того, хакеры получили заметки, связанные с профилями пользователей, включая поисковые запросы на сайте. Через встроенную систему уведомлений они направили клиентам Asos сообщение без разрешения компании. В нем злоумышленники обратились к сотрудникам, отвечающим за защиту данных и информационные технологии, заявив, что «полностью скомпрометировали» данные Asos, размещенные в Snowflake.
«Свяжитесь с нами, иначе мы опубликуем их», — говорится в уведомлении. Таким способом группировка пытается вынудить Asos начать переговоры, угрожая размещением похищенной информации в интернете. Хакеры используют название Xuanye Group, однако размер массива данных, который оказался у них, пока не раскрыт.
По сведениям Bleeping Computer, доступ к экземпляру Snowflake могли получить после того, как злоумышленники выдали себя за доверенного контакта и завладели учетными данными для входа. Компания Snowflake заявила, что ее собственные системы взлому не подвергались. При этом неизвестно, была ли база Asos защищена многофакторной аутентификацией и каким образом хакеры проникли в сервис отправки push-уведомлений приложения, который часто предоставляют сторонние компании.
На сайте Asos указано, что у ритейлера 17 млн клиентов. Ранее в этом году похожий инцидент произошел у финтех-компании Betterment: хакеры использовали доступ к сторонней маркетинговой платформе, чтобы отправить клиентам поддельное уведомление с криптовалютной схемой. Тогда также были раскрыты имена, адреса электронной почты и номера телефонов пользователей.