Asos ยืนยันข้อมูลลูกค้าถูกแฮกผ่านระบบแจ้งเตือนแอปพลิเคชัน

Asos ยักษ์ใหญ่ธุรกิจค้าปลีกแฟชั่นในอังกฤษ ยืนยันว่าบริษัทประสบเหตุข้อมูลลูกค้าถูกละเมิดผ่านแพลตฟอร์มของบุคคลที่สามที่ใช้ในการสื่อสารกับผู้ใช้งาน ข้อมูลที่ถูกเข้าถึงประกอบด้วยชื่อ ข้อมูลติดต่อ ที่อยู่บ้าน หมายเลขโทรศัพท์ อีเมล และบันทึกพฤติกรรมการค้นหาบนเว็บไซต์

กลุ่มแฮกเกอร์ที่ใช้ชื่อว่า Xuanye Group ได้ส่งการแจ้งเตือนที่ไม่ได้รับอนุญาตผ่านแอปพลิเคชันของ Asos โดยตรง เพื่อข่มขู่ให้บริษัทติดต่อกลับ มิฉะนั้นจะนำข้อมูลที่ขโมยมาไปเผยแพร่สู่สาธารณะ

แฮกเกอร์ระบุว่าสามารถเข้าถึงข้อมูลที่โฮสต์อยู่บน Snowflake โดยใช้วิธีปลอมตัวเป็นบุคคลที่น่าเชื่อถือเพื่อขโมยข้อมูลล็อกอิน อย่างไรก็ตาม Snowflake ชี้แจงว่าระบบหลักของบริษัทไม่ได้ถูกเจาะแต่อย่างใด

ขณะนี้ยังไม่มีความชัดเจนว่า Asos ได้เปิดใช้งานระบบยืนยันตัวตนแบบหลายปัจจัย (MFA) หรือไม่ รวมถึงยังไม่ทราบแน่ชัดว่าแฮกเกอร์เข้าถึงระบบส่งข้อความแจ้งเตือนภายในแอปฯ ซึ่งมักจัดการโดยผู้ให้บริการภายนอกได้อย่างไร