ASOSは、攻撃者が信頼されている連絡先を装って従業員のログイン認証情報を入手し、オンラインファッション小売業者が利用するサードパーティーのプラットフォームを通じて顧客情報にアクセスしていたことを確認した。
ASOSは10月8日の更新情報で、この認証情報によって顧客の氏名や連絡先などの個人情報への不正アクセスが可能になったと明らかにした。今回の調査結果により、10月6日に発生したサイバーインシデントの経緯がより明確になった。このインシデントでは、顧客に対して小売業者のモバイルアプリ経由で不正な通知が送信されていた。
今回の開示により、顧客が受け取った不審なメッセージから、より広範なセキュリティ問題へと焦点が移った。つまり、侵害された従業員のIDが、顧客データや信頼された通信経路をいかにリスクにさらし得るかという問題だ。
ASOS、従業員のなりすましが侵入経路だったと特定
ASOSは、 10月8日に公開した顧客向けセキュリティ情報で、従業員が信頼する人物になりすました第三者が従業員のアカウントにアクセスしたと説明した。攻撃者はログイン認証情報を入手し、それを使って同社が利用する一部のサードパーティープラットフォーム上の情報にアクセスした。
ASOSは、影響を受けたプラットフォームへのアクセスを直ちに制限し、社内のセキュリティチームと外部のサイバーセキュリティ専門家を交えた調査を開始したと述べた。また、法執行機関や規制当局とも連携していると説明した。
調査の結果、攻撃者が氏名、連絡先、一部の個人情報ではないアカウント情報にアクセスしていたことが確認された。 The Guardianによると、最近の顧客の検索履歴もアクセスされた情報に含まれていたという。ただしASOSは、調査の結果、顧客のパスワードや決済カード情報にはアクセスされていなかったと述べた。
同社は、10月のインシデントで影響を受けた顧客の人数や、関与したすべてのサードパーティープラットフォームを公表していなかった。
今回の調査結果は、10月6日に発生したインシデントを受けたものだ。このとき第三者が小売業者の公式アプリを使い、ASOSがハッキングされたと主張する通知を配信した。メッセージでは、攻撃者がSnowflake環境を侵害したとされていた。しかしASOSはこの主張を確認しておらず、 TechCrunchによると、Snowflakeも今回のインシデントが自社システムの脆弱性に起因するものではないと否定した。
10月8日の開示により、攻撃者がどのようにアクセス権を得たのかについて、より具体的な説明が示された。ただしASOSは、より広範な調査は継続中だとしている。同社は7月にも、顧客アカウントに関わる別のセキュリティインシデントを公表していた。7月と10月のインシデントに同じ攻撃者が関与したことや、技術的に関連していることを示す確かな証拠はない。
認証情報の侵害から浮かび上がる、サードパーティーのセキュリティリスク
ASOSが明らかにした攻撃手法により、従業員のID保護が調査の中心的な問題となっている。
攻撃者は、公に開示されたソフトウェアの脆弱性を悪用したのではなく、ソーシャルエンジニアリングによって正規の従業員認証情報を入手した。これは重要な点だ。悪意のあるソフトウェアや既知の脆弱性を阻止するために設計されたセキュリティ対策でも、攻撃者が侵害された認証情報で認証に成功すれば、不正アクセスを防げない可能性がある。
今回のインシデントは、侵害された従業員アカウントによる影響が、サードパーティーの業務プラットフォームによって拡大し得ることも示している。
組織は、顧客関係の管理や情報の保存、通知の配信を外部サービスに頼ることが多い。攻撃者が十分な権限を持つアカウントにアクセスすれば、そうしたプラットフォームが機密情報への新たな経路になり得る。
ASOSが不正に配信したプッシュ通知は、関連する懸念も浮き彫りにした。顧客は、見慣れないメールアドレスや電話番号から届くメッセージよりも、公式アプリを通じて配信されたメッセージを信頼しやすい可能性がある。
セキュリティチームは、次のようないくつかの対策に特に注意を払う必要がある。
- 従業員の認証を強化する。サポートされている場合は、フィッシング耐性のある多要素認証を使用する。特に、顧客情報やサードパーティーの管理ツールにアクセスするアカウントでは重要だ。
- サードパーティーの権限を制限する。従業員が職務に必要とするプラットフォームや情報にのみアクセスできるようにし、権限を定期的に見直す。
- 信頼された通信システムを監視する。通常と異なる管理操作、予期しないメッセージ配信キャンペーン、顧客向けプラットフォームへの不審なログインを検知して警告する。
組織は、接続されたサービス全体で、侵害された認証情報やセッションを迅速に無効化する手順も確立しておくべきだ。
eSecurityPlanetが公開している MFAの弱点に関するガイドで説明しているように、一部の認証方式は依然として、フィッシングやセッション窃取など、パスワードだけを中心とした対策を回避できる手法に対して脆弱だ。
セキュリティチームは、サードパーティープロバイダーが、不審な活動の調査と封じ込めに十分な監査ログ、アクセス制限、緊急時の制御機能を提供しているかどうかも検討する必要がある。
ASOSの顧客にとって、当面の懸念は異なる。
小売業者は、10月のインシデントでパスワードや決済カード情報にはアクセスされなかったと説明している。しかし、流出した氏名や連絡先、買い物に関する情報を使えば、犯罪者がより巧妙なフィッシングメッセージを作成できる可能性がある。
英国の National Cyber Security Centreは、今回のインシデントを受け、顧客に不審な連絡に警戒し続けるよう助言した。
返金を申し出る、アカウントの確認を求める、緊急のセキュリティ対応を要求するといった内容の予期しないメッセージには注意すべきだ。そのようなメッセージを受け取った場合は、見慣れないリンクをクリックするのではなく、小売業者の公式ウェブサイトやアプリに直接アクセスする必要がある。
ASOSは、10月のインシデントを理由に顧客が特別なアカウント対応を取る必要はないと述べた。また、同社のウェブサイトとアプリは引き続き安全に利用できるとし、追加の情報提供やサポート、対応が必要になった場合は顧客に直接連絡すると強調した。
小売業者やその他の企業にとって中心的な教訓は、顧客情報を保護するには顧客のログインページを守るだけでは不十分だということだ。従業員のID、サードパーティープラットフォーム、顧客との通信に使うシステムのすべてに、強固なアクセス制御と継続的な監視が必要になる。
ASOSのインシデントは、侵害された従業員の認証情報が、顧客情報や信頼された通信システムに関わる、より広範なリスクを生み出し得ることを示している。
関連記事：従業員の認証情報をなりすまし攻撃から守る方法については、eSecurityPlanetの スピアフィッシングを防ぐ10の戦略を参照されたい。