Asos, müşterilerine veri ihlalinin tam boyutunu açıkladı

İngiliz çevrim içi moda perakendecisi Asos, müşterilerine yaptığı bilgilendirmede siber suçluların potansiyel olarak milyonlarca kullanıcının ayrıntılı profillerine ulaştığını bildirdi. Şirket bu güncellemeyi, BBC News'e ulaşan siber suçluların saldırının şirketin daha önce açıkladığı "temel iletişim bilgilerinden" daha kapsamlı olduğunu belirtmesinin ardından yaptı.

Ele geçirilen veriler arasında ad ve soyadlar, adresler, telefon numaraları, e-posta adresleri ve müşteri numaraları yer alıyor. Ayrıca müşterilerin internet sitesinde yaptığı aramalar da verilerde görülebiliyor; "reclaimed vintage", "glamorous wide fit" ve "Asos petite" gibi terimler bunlar arasında. Bu bilgilerle dolandırıcılar ikna edici oltalama (phishing) e-postaları veya telefon aramaları düzenleyebilir. Bireyler için risk artmış durumda ve müşteriler kimlik taklidi dolandırıcılığına karşı uyarılıyor.

Asos, müşterilere gönderdiği e-postada veri profillerinin alındığını doğruladı ancak banka bilgilerine veya şifrelere erişilmediğini belirtti. Şirket, "Asos'tan geldiğini iddia eden beklenmedik mesaj veya aramalara karşı dikkatli olun" uyarısında bulundu. "İstenmeyen bir mesaj veya arama yoluyla şifrenizi, güvenlik kodunuzu ya da ödeme bilgilerinizi paylaşmanızı asla istemeyiz" ifadeleri kullanıldı. Şirket, ihlalin boyutuna ilişkin sorulara yanıt vermedi.

Saldırı dalgası ve şirketin açıklamaları

Yüksek profilli saldırı, salı günü siber suçluların Asos'un kendi uygulama sistemi üzerinden potansiyel olarak milyonlarca kişiye açılır bildirim göndermesiyle dünya gündemine oturdu. Aynı gün şirket, Londra Borsası (London Stock Exchange) üzerinden hissedarlarına bildirimin "yetkisiz bir üçüncü taraf" tarafından gönderildiğini ve "ad ile iletişim bilgileri dâhil temel kişisel bilgilere erişilmiş olabileceğini" duyurdu. Ardından müşterilere benzer ifadeler içeren bir e-posta gönderildi.

Çarşamba akşamı saldırıdan sorumlu siber suçlular, BBC ile temasa geçerek çalınan verilerden bir örnek paylaştı; bu örnek saldırının gerçek boyutunu ortaya koydu. BBC, Asos'un önce müşterileriyle iletişime geçmesine imkân tanımak için bu haberin yayınını bekletti.

Asos, saldırının nasıl gerçekleştiğini hâlâ araştırdığını belirtti. Müşterilere yapılan açıklamada siber suçluların "güvenilir bir kişiyi taklit ederek bir Asos çalışanının hesabına eriştiği ve giriş bilgilerini elde ettiği" ifade edildi. Adı açıklanmayan bir hizmete ait bu giriş bilgileriyle saldırganlar müşteri verilerini indirebildi.

Saldırganların müşterilere gönderdiği açılır bildirimde "Snowflake örneğini ele geçirdiklerini" iddia ettikleri görüldü. Snowflake, geçmişte yetkisiz girişler nedeniyle müşterileri ihlal edilen popüler bir veri depolama ve analiz şirketi. Kendilerine Xuanyewen adını veren siber suçlular BBC'ye, verilere erişmek için Snowflake üzerine yerleşik olarak kurulu Simon AI adlı bir platformu kullandıklarını öne sürdü. Simon AI'dan konuya ilişkin yorum bekleniyor. Snowflake daha önce platformunun ihlal edilmediğini açıklamıştı.

Asos, müşterilerden herhangi bir işlem yapmalarının istenmediğini belirtti. Ancak siber güvenlik uzmanları, önlem olarak şifrelerin değiştirilmesi ve şüpheli hareketliliklere karşı dikkatli olunması uyarısında bulundu. Asos, internet sitesi ve uygulamasının kullanımının güvenli olduğunu ve "müşterilerimizin bilgilerini bize emanet ettiğini biliyoruz" dedi. Şirket, "Bu sorumluluğu ciddiye alıyoruz ve güvenlik kontrollerini daha da güçlendirmek için ek adımlar attık" açıklamasını yaptı.