ASOS hat bestätigt, dass sich ein Angreifer als vertrauenswürdiger Kontakt ausgab, um die Anmeldedaten eines Mitarbeiters zu erlangen, und dadurch über von dem Online-Modehändler genutzte Drittanbieterplattformen Zugriff auf Kundeninformationen erhielt.
In einem Update vom 8. Oktober teilte ASOS mit, dass die Zugangsdaten einen unbefugten Zugriff auf personenbezogene Daten ermöglichten, darunter Kundennamen und Kontaktdaten. Die Erkenntnisse lieferten eine klarere Erklärung für den Cybervorfall vom 6. Oktober, bei dem Kunden über die mobile App des Händlers eine unbefugte Benachrichtigung erhielten.
Die Veröffentlichung lenkt die Aufmerksamkeit von der alarmierenden Nachricht, die Kunden erhielten, auf ein umfassenderes Sicherheitsproblem: Wie kann eine kompromittierte Mitarbeiteridentität Kundendaten und vertrauenswürdige Kommunikationskanäle gefährden?
ASOS identifiziert Identitätsvortäuschung als Einstiegspunkt
In seinem Sicherheitsupdate für Kunden vom 8. Oktober teilte ASOS mit, dass sich eine unbefugte Person Zugang zu einem Mitarbeiterkonto verschafft hatte, indem sie sich als jemand ausgab, dem der Mitarbeiter vertraute. Der Angreifer erlangte die Anmeldedaten und nutzte sie, um auf Informationen auf bestimmten Drittanbieterplattformen zuzugreifen, die das Unternehmen verwendet.
ASOS erklärte, den Zugriff auf die betroffenen Plattformen sofort eingeschränkt und eine Untersuchung unter Beteiligung interner Sicherheitsteams und externer Cybersicherheitsexperten eingeleitet zu haben. Der Händler teilte außerdem mit, mit Strafverfolgungsbehörden und Aufsichtsbehörden zusammenzuarbeiten.
Die Untersuchung bestätigte, dass der Angreifer auf Namen, Kontaktdaten und bestimmte nicht personenbezogene Kontoinformationen zugegriffen hatte. Laut The Guardian gehörten auch die jüngsten Suchverläufe von Kunden zu den abgerufenen Informationen. ASOS erklärte jedoch, die Untersuchung habe ergeben, dass weder Kundenpasswörter noch Zahlungskarteninformationen abgerufen wurden.
Das Unternehmen hatte weder bekannt gegeben, wie viele Kunden von dem Vorfall im Oktober betroffen waren, noch alle beteiligten Drittanbieterplattformen öffentlich benannt.
Die Erkenntnisse folgten auf den Vorfall vom 6. Oktober, bei dem eine unbefugte Person die offizielle App des Händlers nutzte, um eine Benachrichtigung zu verbreiten, der zufolge ASOS gehackt worden sei. In der Nachricht wurde behauptet, die Angreifer hätten eine Snowflake-Umgebung kompromittiert. ASOS hat diese Behauptung jedoch nicht bestätigt, und Snowflake bestritt laut TechCrunch, dass der Vorfall auf eine Schwachstelle in seinen Systemen zurückzuführen sei.
Die Offenlegung vom 8. Oktober lieferte eine konkretere Erklärung dafür, wie der Angreifer Zugriff erlangte, obwohl ASOS mitteilte, dass die umfassendere Untersuchung noch andauere. Der Händler hatte im Juli außerdem einen separaten Sicherheitsvorfall im Zusammenhang mit Kundenkonten bekannt gegeben. Es gibt keine belastbaren Beweise dafür, dass an den Vorfällen im Juli und Oktober dieselben Angreifer beteiligt waren oder dass sie technisch miteinander verbunden waren.
Was die Kompromittierung von Zugangsdaten über Sicherheitsrisiken bei Drittanbietern offenbart
Die von ASOS offengelegte Angriffsmethode rückt den Schutz der Mitarbeiteridentität ins Zentrum der Untersuchung.
Statt eine öffentlich bekannte Softwareschwachstelle auszunutzen, erlangte der Angreifer legitime Mitarbeiter-Zugangsdaten durch Social Engineering. Das ist relevant, weil Sicherheitskontrollen, die darauf ausgelegt sind, Schadsoftware oder bekannte Schwachstellen zu blockieren, den unbefugten Zugriff möglicherweise nicht verhindern, wenn sich ein Angreifer erfolgreich mit kompromittierten Zugangsdaten authentifiziert.
Der Vorfall zeigt außerdem, wie geschäftliche Plattformen von Drittanbietern die Folgen eines kompromittierten Mitarbeiterkontos ausweiten können.
Unternehmen verlassen sich häufig auf externe Dienste, um Kundenbeziehungen zu verwalten, Informationen zu speichern und Benachrichtigungen zu versenden. Wenn ein Angreifer Zugriff auf ein Konto mit ausreichenden Berechtigungen erlangt, können diese Plattformen zu zusätzlichen Wegen zu sensiblen Informationen werden.
Die unbefugte Push-Benachrichtigung von ASOS wirft eine damit verbundene Frage auf. Kunden vertrauen einer über eine offizielle Anwendung zugestellten Nachricht möglicherweise eher als einer Nachricht von einer unbekannten E-Mail-Adresse oder Telefonnummer.
Für Sicherheitsteams verdienen mehrere Maßnahmen besondere Aufmerksamkeit:
- Mitarbeiter-Authentifizierung stärken. Phishing-resistente Multi-Faktor-Authentifizierung verwenden, sofern unterstützt, insbesondere für Konten, die auf Kundeninformationen oder administrative Tools von Drittanbietern zugreifen.
- Berechtigungen für Drittanbieter einschränken. Den Zugriff von Mitarbeitern auf die für ihre Aufgaben erforderlichen Plattformen und Informationen beschränken und Berechtigungen regelmäßig überprüfen.
- Vertrauenswürdige Kommunikationssysteme überwachen. Bei ungewöhnlichen administrativen Aktivitäten, unerwarteten Nachrichtenkampagnen und verdächtigen Anmeldungen bei kundenorientierten Plattformen Alarm auslösen.
Unternehmen sollten außerdem Verfahren etablieren, um kompromittierte Zugangsdaten und Sitzungen bei verbundenen Diensten schnell zu widerrufen.
Wie eSecurityPlanet in seinem Leitfaden zu Schwachstellen von MFA erläutert, sind manche Authentifizierungsmethoden weiterhin anfällig für Phishing, Sitzungendiebstahl und andere Techniken, mit denen sich Schutzmaßnahmen umgehen lassen, die allein auf Passwörtern basieren.
Sicherheitsteams sollten außerdem prüfen, ob Drittanbieter ausreichende Audit-Protokolle, Zugriffsbeschränkungen und Notfallkontrollen bereitstellen, um verdächtige Aktivitäten zu untersuchen und einzudämmen.
Für ASOS-Kunden sieht die unmittelbare Gefahr anders aus.
Obwohl der Händler mitteilte, dass während des Vorfalls im Oktober weder Passwörter noch Zahlungskarteninformationen abgerufen wurden, könnten offengelegte Namen, Kontaktdaten und einkaufsbezogene Informationen Kriminellen möglicherweise dabei helfen, überzeugendere Phishing-Nachrichten zu verfassen.
Das britische National Cyber Security Centre riet Kunden, nach dem Vorfall weiterhin auf verdächtige Mitteilungen zu achten.
Kunden sollten bei unerwarteten Nachrichten vorsichtig sein, in denen Rückerstattungen angeboten, eine Kontoverifizierung verlangt oder eine dringende Sicherheitsmaßnahme gefordert wird. Wer eine solche Nachricht erhält, sollte direkt zur offiziellen Website oder App des Händlers navigieren, statt einem unbekannten Link zu folgen.
ASOS erklärte, Kunden müssten aufgrund des Vorfalls im Oktober keine konkreten Maßnahmen in Bezug auf ihr Konto ergreifen. Das Unternehmen hielt außerdem daran fest, dass seine Website und App weiterhin sicher genutzt werden könnten, und betonte, dass es Kunden direkt kontaktieren werde, falls zusätzliche Informationen, Unterstützung oder Maßnahmen erforderlich würden.
Für Händler und andere Unternehmen besteht die zentrale Lehre darin, dass der Schutz von Kundeninformationen mehr erfordert als die Absicherung der Kunden-Anmeldeseite. Mitarbeiteridentitäten, Plattformen von Drittanbietern und die zur Kundenkommunikation eingesetzten Systeme benötigen allesamt strenge Zugriffskontrollen und eine kontinuierliche Überwachung.
Der ASOS-Vorfall veranschaulicht, wie kompromittierte Mitarbeiter-Zugangsdaten weitreichendere Risiken für Kundeninformationen und vertrauenswürdige Kommunikationssysteme schaffen können.
Weiterführende Lektüre: Weitere Möglichkeiten, Mitarbeiter-Zugangsdaten vor Identitätsvortäuschungsangriffen zu schützen, finden Sie in eSecurityPlanets 10 Strategien zur Verhinderung von Spear-Phishing.