Bilgisayar korsanlarının Asos'un mobil bildirim sistemini kullanarak fidye tehdidinde bulunmasının ardından şirket, müşterilere ait iletişim ve profil bilgilerinin çalındığını açıkladı.
Üç noktada haber
Asos, Londra Menkul Kıymetler Borsası'na yaptığı bildirimde müşteri iletişim bilgilerini barındıran üçüncü taraf platforma yetkisiz erişim sağlandığını ve isim ile iletişim bilgilerinin çalındığını doğruladı.
Saldırganlar şirketin resmi mobil uygulamasından kullanıcılara yetkisiz bildirim göndererek veri koruma yetkilisine seslendi ve Snowflake üzerindeki verilerin sızdırılacağı tehdidinde bulundu.
BBC News verilerin ev adresleri, telefon numaraları, e-posta adresleri ve arama sorguları gibi profil notlarını içerdiğini aktarırken, Snowflake kendi sistemlerinde bir ihlal yaşanmadığını açıkladı.
İngiltere merkezli çevrim içi giyim perakendecisi Asos, bilgisayar korsanlarının şirketin kendi mobil uygulamasını kullanarak kullanıcılara yetkisiz bildirim göndermesinin ardından müşteri kişisel verilerinin ihlal edildiğini doğruladı. Londra Menkul Kıymetler Borsası'na yapılan resmî bildirimde, müşterilerle iletişim kurmak için kullanılan üçüncü taraf bir platforma yetkisiz erişim sağlandığı ve isim ile iletişim bilgilerinin ele geçirildiği kaydedildi.
## Çalınan Verilerin Kapsamı BBC News tarafından aktarılan bilgilere göre ele geçirilen veriler yalnızca temel iletişim kayıtlarıyla sınırlı değil. Sızdırılan paket içinde müşterilerin ev adresleri, telefon numaraları ve e-posta adreslerinin yanı sıra internet sitesindeki arama sorguları gibi profil notları da yer alıyor. Xuanye Group adını kullanan korsanlar, Asos'un veri koruma görevlisine ve bilgi teknolojileri birimine hitaben uygulama üzerinden yolladıkları bildirimde, şirketin Snowflake üzerinde barındırılan verilerini tamamen ele geçirdiklerini iddia ederek kendileriyle temas kurulmaması halinde bu verileri sızdıracaklarını duyurdu.
## Altyapı Güvenliği ve Yetkisiz Erişim Bleeping Computer tarafından yayımlanan değerlendirmelere göre korsanların, güvenilir bir temas kişisini taklit ederek oturum açma kimlik bilgilerini ele geçirmek suretiyle Snowflake örneğine sızdığı belirtiliyor. Kurumsal müşterilerine büyük veri analitiği hizmeti sunan Snowflake ise kendi merkezi sistemlerinde herhangi bir güvenlik ihlali yaşanmadığını açıkladı. Asos tarafında çalışan Snowflake sisteminin çok faktörlü kimlik doğrulama ile korunup korunmadığı ve uygulama içi anlık bildirim gönderme mekanizmasına hangi yöntemle erişildiği belirsizliğini koruyor.
## 17 Milyon Müşteri ve Üçüncü Taraf Riskleri Kendi internet sitesinde 17 milyon müşterisi bulunduğunu belirten Asos vakasında korsanlar, ellerinde ne miktarda veri bulunduğunu kamuoyuyla paylaşmadı. Benzer bir yöntem bu yıl finans teknolojisi şirketi Betterment örneğinde de görülmüş; saldırganlar üçüncü taraf pazarlama platformu erişimi üzerinden müşterilere sahte kripto para duyurusu göndermişti. Asos ihlali, tüketici uygulamalarında üçüncü taraf pazarlama ve veri ambarı entegrasyonlarının doğrudan kötüye kullanılabildiğini gösteren son somut örnek oldu.
Neden önemli?Saldırganların doğrudan resmi uygulama bildirimini ele geçirip şantaj aracı yapması, kurumsal veri ambarları ve üçüncü taraf entegrasyonlarındaki erişim güvenliği açıklarının doğrudan tüketicilere yansıdığını gösteriyor.
Cevabı beklenen sorular
- Xuanye Group adlı hacker grubunun Asos müşterilerine ait ne büyüklükte bir veriyi elinde tuttuğu ve bu verileri internette yayımlayıp yayımlamayacağı henüz bilinmiyor.
- Asos'un kullandığı Snowflake altyapısında çok faktörlü kimlik doğrulamanın bulunup bulunmadığı ve uygulama içi bildirim sistemine korsanların nasıl sızdığı belirsizliğini koruyor.
Kaynaklar ve belgeler
Bu haberde kullanılan belgelere aşağıdaki bağlantılardan ulaşabilirsiniz.
