ASOS a confirmé qu’un attaquant s’était fait passer pour un contact de confiance afin d’obtenir les identifiants de connexion d’un employé, accédant ainsi aux informations clients par l’intermédiaire de plateformes tierces utilisées par le distributeur de mode en ligne.
Dans une mise à jour publiée le 8 octobre, ASOS a révélé que ces identifiants avaient permis un accès non autorisé à des informations personnelles, notamment les noms et coordonnées des clients. Ces conclusions apportent une explication plus claire à l’incident informatique du 6 octobre, au cours duquel les clients ont reçu une notification non autorisée via l’application mobile du distributeur.
Cette révélation déplace l’attention du message alarmant reçu par les clients vers un problème de sécurité plus vaste : la manière dont l’identité compromise d’un employé peut mettre en danger les données clients et les canaux de communication de confiance.
ASOS identifie l’usurpation d’identité d’un employé comme point d’entrée
Dans sa mise à jour du 8 octobre sur la sécurité des clients, ASOS a déclaré qu’une partie non autorisée avait accédé au compte d’un employé en se faisant passer pour une personne en qui celui-ci avait confiance. L’attaquant a obtenu des identifiants de connexion et les a utilisés pour accéder à des informations sur certaines plateformes tierces employées par l’entreprise.
ASOS a déclaré avoir immédiatement restreint l’accès aux plateformes concernées et lancé une enquête avec ses équipes de sécurité internes et des spécialistes externes de la cybersécurité. Le distributeur a également indiqué collaborer avec les forces de l’ordre et les autorités de régulation.
L’enquête a confirmé que l’attaquant avait accédé à des noms, des coordonnées et certaines informations de compte non personnelles. Selon The Guardian, les historiques de recherche récents des clients figuraient également parmi les informations consultées. ASOS a toutefois déclaré que son enquête n’avait révélé aucun accès aux mots de passe des clients ni aux informations de cartes de paiement.
L’entreprise n’avait pas indiqué combien de clients avaient été touchés par l’incident d’octobre ni identifié publiquement l’ensemble des plateformes tierces concernées.
Ces conclusions font suite à l’incident du 6 octobre, lorsqu’une partie non autorisée a utilisé l’application officielle du distributeur pour diffuser une notification affirmant qu’ASOS avait été piraté. Le message soutenait que les attaquants avaient compromis un environnement Snowflake. ASOS n’a toutefois pas confirmé cette affirmation, et Snowflake a nié que l’incident résultait d’une vulnérabilité de ses systèmes, selon TechCrunch.
La révélation du 8 octobre a fourni une explication plus précise de la manière dont l’attaquant avait obtenu l’accès, même si ASOS a déclaré que son enquête plus large se poursuivait. Le distributeur avait également révélé en juillet un incident de sécurité distinct concernant des comptes clients. Rien ne permet d’établir que les incidents de juillet et d’octobre impliquaient les mêmes attaquants ou étaient liés sur le plan technique.
Ce que la compromission d’identifiants révèle des risques de sécurité liés aux plateformes tierces
La méthode d’attaque révélée par ASOS fait de la protection de l’identité des employés un enjeu central de l’enquête.
Plutôt que d’exploiter une vulnérabilité logicielle rendue publique, l’attaquant a obtenu des identifiants d’employé légitimes par ingénierie sociale. C’est important, car les contrôles de sécurité conçus pour bloquer les logiciels malveillants ou les vulnérabilités connues peuvent ne pas empêcher un accès non autorisé lorsqu’un attaquant s’authentifie avec succès à l’aide d’identifiants compromis.
L’incident montre également comment les plateformes professionnelles tierces peuvent amplifier les conséquences de la compromission du compte d’un employé.
Les organisations s’appuient souvent sur des services externes pour gérer leurs relations clients, stocker des informations et envoyer des notifications. Si un attaquant accède à un compte disposant de permissions suffisantes, ces plateformes peuvent devenir autant de voies supplémentaires vers des informations sensibles.
La notification push non autorisée d’ASOS soulève une inquiétude connexe. Les clients sont peut-être plus enclins à faire confiance à un message transmis par une application officielle qu’à un message reçu d’une adresse e-mail ou d’un numéro de téléphone inconnu.
Pour les équipes de sécurité, plusieurs contrôles méritent une attention particulière :
- Renforcer l’authentification des employés. Utiliser une authentification multifacteur résistante à l’hameçonnage lorsque cela est possible, en particulier pour les comptes qui accèdent aux informations clients ou aux outils d’administration tiers.
- Restreindre les permissions des plateformes tierces. Limiter l’accès des employés aux plateformes et aux informations nécessaires à leurs fonctions, et vérifier régulièrement leurs privilèges.
- Surveiller les systèmes de communication de confiance. Déclencher des alertes en cas d’activité administrative inhabituelle, de campagnes de messagerie inattendues ou de connexions suspectes aux plateformes destinées aux clients.
Les organisations devraient également établir des procédures permettant de révoquer rapidement les identifiants et les sessions compromis sur l’ensemble des services connectés.
Comme l’explique eSecurityPlanet dans son guide consacré aux faiblesses de la MFA, certaines méthodes d’authentification restent vulnérables à l’hameçonnage, au vol de session et à d’autres techniques capables de contourner les protections reposant uniquement sur les mots de passe.
Les équipes de sécurité devraient également déterminer si les fournisseurs tiers proposent des journaux d’audit, des restrictions d’accès et des contrôles d’urgence suffisants pour enquêter sur une activité suspecte et la contenir.
Pour les clients d’ASOS, la préoccupation immédiate est différente.
Bien que le distributeur ait déclaré qu’aucun mot de passe ni aucune information de carte de paiement n’avaient été consultés lors de l’incident d’octobre, les noms, coordonnées et informations liées aux achats qui ont été exposés pourraient aider des criminels à élaborer des messages d’hameçonnage plus convaincants.
Le National Cyber Security Centre du Royaume-Uni a conseillé aux clients de rester vigilants face aux communications suspectes après l’incident.
Les clients doivent se méfier des messages inattendus prétendant proposer un remboursement, demandant une vérification de compte ou exigeant une action de sécurité urgente. Toute personne qui reçoit un tel message doit accéder directement au site officiel ou à l’application officielle du distributeur plutôt que de suivre un lien inconnu.
ASOS a déclaré que les clients n’avaient aucune action particulière à entreprendre concernant leur compte en raison de l’incident d’octobre. L’entreprise a également maintenu que son site web et son application restaient sûrs, tout en soulignant qu’elle contacterait directement les clients si des informations, une assistance ou une action supplémentaires devenaient nécessaires.
Pour les distributeurs et les autres entreprises, la leçon centrale est que la sécurisation des informations clients exige davantage que la protection de la page de connexion des clients. Les identités des employés, les plateformes tierces et les systèmes utilisés pour communiquer avec les clients ont tous besoin de contrôles d’accès robustes et d’une surveillance continue.
L’incident d’ASOS montre comment des identifiants d’employé compromis peuvent créer des risques plus larges concernant les informations clients et les systèmes de communication de confiance.
À lire également : pour découvrir d’autres moyens de protéger les identifiants des employés contre les attaques par usurpation, consultez les 10 stratégies pour prévenir le spear phishing.