Ein Überblick über den Vorfall
Der britische Online‑Modehändler ASOS hat offiziell bestätigt, dass ein erheblicher Datenverlust bei seinen Kunden eingetreten ist. Die Meldung erfolgte nach einer ungewöhnlichen Taktik der Angreifer: Sie nutzten die eigene App des Unternehmens, um eine gefälschte Benachrichtigung an die Nutzer zu senden. Darin wurde behauptet, die Daten seien vollständig kompromittiert und würden veröffentlicht, falls das Unternehmen nicht mit den Hackern verhandelt.
Welche Informationen wurden gestohlen?
Laut einer Einreichung bei der London Stock Exchange umfassen die entwendeten Daten Namen, E‑Mail‑Adressen, Telefonnummern und Wohnadressen. Zusätzlich wurden interne Notizen zu Kundenprofilen, darunter Suchanfragen auf der Website, offengelegt. Insgesamt könnten bis zu 17 Millionen Kunden von dem Vorfall betroffen sein – ein Ausmaß, das das Vertrauen in die Datensicherheit des Unternehmens stark erschüttert.
Der technische Ablauf des Angriffs
Die Angreifer, die sich selbst als „Xuanye Group“ bezeichnen, drangen über eine Drittanbieter‑Plattform ein, die ASOS für die Kundenkommunikation nutzt. Diese Plattform hostet Daten in einer Snowflake‑Instanz, einem Cloud‑Data‑Warehouse, das Unternehmen ermöglicht, große Datenmengen zu analysieren. Durch das Vortäuschen einer vertrauenswürdigen Kontaktperson erlangten die Hacker angeblich Anmeldedaten für das Snowflake‑Konto.
Warum Snowflake nicht direkt betroffen ist
Snowflake selbst betont, dass keine Sicherheitslücke in den eigenen Systemen vorliegt. Der Verdacht liegt vielmehr darauf, dass die spezifische Snowflake‑Instanz von ASOS nicht ausreichend durch Mehr‑Faktor‑Authentifizierung geschützt war. Ohne diese zusätzliche Sicherheitsebene konnten die Angreifer die Zugangsdaten ausnutzen, um die Datenbank zu kompromittieren und anschließend über das Benachrichtigungssystem der App Nachrichten an die Kunden zu senden.
Die Erpressungsstrategie
Die gefälschte In‑App‑Benachrichtigung richtete sich direkt an den Datenschutzbeauftragten und die IT‑Abteilung von ASOS. Darin wurde ein Ultimatum gestellt: „Engagiert euch mit uns, oder wir leaken die Daten.“ Durch die Nutzung des eigenen Kommunikationskanals wollten die Hacker den Druck erhöhen und gleichzeitig die Glaubwürdigkeit ihrer Drohung steigern. Viele Betroffene teilten Screenshots der Nachricht in sozialen Netzwerken, was die Reichweite des Angriffs weiter vergrößerte.
Parallele Vorfälle in der Branche
Der ASOS‑Fall ist nicht isoliert. Ähnliche Angriffe wurden bereits bei anderen Unternehmen beobachtet, etwa bei dem Fintech‑Anbieter Betterment, der ebenfalls über ein Drittanbieter‑Marketing‑Tool kompromittiert wurde. Dort nutzten Hacker die erlangten Zugangsdaten, um Kunden mit Krypto‑Betrugsnachrichten zu überhäufen. Diese Muster verdeutlichen, dass die Sicherheitslücken häufig in den Verbindungen zu externen Dienstleistern liegen, nicht unbedingt in den Kernsystemen der Unternehmen selbst.
Reaktionen und nächste Schritte
ASOS hat angekündigt, die betroffenen Kunden zu informieren und zusätzliche Sicherheitsmaßnahmen zu implementieren. Das Unternehmen prüft derzeit, ob weitere Daten kompromittiert wurden und arbeitet eng mit den Ermittlungsbehörden zusammen. Experten raten allen Unternehmen, die Nutzung von Multi‑Factor‑Authentifizierung für sämtliche Drittanbieter‑Zugänge zu verpflichten und regelmäßige Audits der Zugriffsrechte durchzuführen.
Der Vorfall unterstreicht, wie wichtig ein ganzheitlicher Ansatz für Cybersicherheit ist – von der Cloud‑Infrastruktur bis hin zu den kleinsten Benachrichtigungs‑Widgets in mobilen Apps.