Az ASOS brit online divatkereskedő október 8-án megerősítette, hogy hackerek ügyféladatokhoz jutottak egy külső szolgáltató rendszerén keresztül. A támadók nem közvetlenül az ASOS saját informatikai infrastruktúráját törték fel, hanem egy harmadik fél által üzemeltetett, push értesítések kezelésére használt platformot kompromittáltak. Ezután magát a rendszert használták fel arra, hogy üzenetet küldjenek az ASOS adatvédelmi vezetőjének és informatikai részlegének: közölték, hogy teljes hozzáférést szereztek az adatokhoz, és felszólították a vállalatot, hogy vegye fel velük a kapcsolatot, különben nyilvánosságra hozzák az információkat.
A londoni tőzsdének tett bejelentés szerint a megszerzett adatok között nevek, lakcímek, telefonszámok, e-mail-címek és vásárlói profilokhoz kapcsolódó megjegyzések is szerepeltek. A vállalat nem közölte, ügyfelei közül pontosan hányan érintettek a nagyjából 17 milliós ügyfélkörből. Az incidens legfontosabb tanulsága azonban nem az adatok mennyisége, hanem az a mechanizmus, amely lehetővé tette a támadást: egy vállalat biztonsága ma már nem áll meg a saját szervereinek és alkalmazottainak határánál.
A beszámolók szerint az Xuanye Group néven ismert támadók egy Snowflake-adatkörnyezethez fértek hozzá, miután egy megbízható kapcsolattartónak adták ki magukat, és így érvényes belépési adatokat szereztek. Ez lényeges különbség a hagyományos kibertámadásokhoz képest. Nem feltétlenül egy szoftverhibát használtak ki, hanem az emberi bizalmat és a hozzáférési folyamatok gyengeségeit. A Snowflake azt közölte, hogy saját infrastruktúráját nem törték fel. Ez technikai értelemben fontos különbségtétel, üzleti szempontból azonban nem oldja meg a problémát: az ASOS adatai olyan rendszeren keresztül kerültek veszélybe, amelyet a vállalat maga nem ellenőrzött teljes egészében. Ráadásul a támadók nem csupán adatokat szereztek meg, hanem az ügyfelekkel való kommunikáció egyik hivatalos csatornáját is felhasználhatták a zsaroláshoz. A márka saját infrastruktúrája így akaratlanul is a támadók eszközévé vált. Ez a bizalom szempontjából különösen súlyos, mert az ügyfél nem feltétlenül tesz különbséget a kereskedő és annak technológiai partnere között: ha az ASOS nevében kap üzenetet, azt az ASOS üzeneteként értelmezi.
Az eset nem elszigetelt jelenség. A fintech vállalat Betterment korábban hasonló incidenssel szembesült, amikor egy külső marketingplatform kompromittálásán keresztül a támadók a cég nevében küldtek ügyfeleknek megtévesztő, kriptovalutás csaláshoz kapcsolódó értesítést. A két eset közös pontja, hogy a támadók nem feltétlenül a központi vállalati rendszert vették célba. Ehelyett egy olyan külső szolgáltatót támadtak meg, amely adatokat tárolt, vagy hozzáfért a vállalat kommunikációs csatornáihoz. Ez a stratégia azért hatékony, mert a modern vállalatok működése egyre inkább szolgáltatói ökoszisztémákra épül. A marketingautomatizálás, az ügyféladat-kezelés, az analitika, a felhőalapú tárhely és az értesítési rendszerek mind különböző partnerekhez kerülhetnek. Egyetlen szolgáltató kompromittálása így több vállalat ügyfeleit is veszélybe sodorhatja, különösen akkor, ha a hozzáférések széles körűek, az ellenőrzés pedig korlátozott.
A vállalatvezetők számára ebből nem az következik, hogy valamelyik technológiai szolgáltató eleve megbízhatatlan, hanem az, hogy a beszállítói kockázatot nem lehet pusztán beszerzési és jogi kérdésként kezelni. Egy szerződés, egy megfelelőségi nyilatkozat vagy egy évente elvégzett audit önmagában nem garantálja, hogy a partner rendszere biztonságos marad. A vállalatnak tudnia kell, milyen adatokat oszt meg külső felekkel, ki és milyen jogosultságokkal férhet hozzájuk, hogyan történik a hitelesítés, és milyen gyorsan vonhatók vissza a kompromittált hozzáférések. A többfaktoros hitelesítés, a hozzáférések rendszeres felülvizsgálata, a belépési adatok cseréje és a gyanús aktivitás folyamatos figyelése alapvető kontrollok. Az ASOS esetében egyelőre nem tisztázott, hogy az érintett Snowflake-környezetben működött-e többfaktoros hitelesítés; ezért nem állítható biztosan, hogy annak alkalmazása önmagában megakadályozta volna a támadást. Az viszont egyértelmű, hogy a hozzáférésvédelem, a jogosultságok korlátozása és a beszállítói rendszerek ellenőrzése együtt alkotja a védelem alapját.
A kiberbiztonság ezért már nem kizárólag az informatikai vezető felelőssége. Ha egy marketingpartner vagy adatszolgáltató hozzáfér az ügyféladatokhoz, az üzleti döntés is egyben: a vállalat kényelmet és hatékonyságot vásárol, cserébe új függőséget és kockázatot vállal. Az igazgatóságnak és a felső vezetésnek ezt ugyanúgy mérlegelnie kell, mint a pénzügyi, jogi vagy működési kockázatokat. Különösen fontos a hozzáférések minimalizálása, az incidensekre vonatkozó egyértelmű szerződéses kötelezettségek meghatározása, valamint annak előzetes megtervezése, hogyan lehet egy kompromittált szolgáltatót gyorsan leválasztani a vállalat működéséről. A szabályozói felelősség sem feltétlenül tűnik el attól, hogy az adatokat egy külső fél kezelte: az adatkezelőnek továbbra is számolnia kell azzal, hogy az ügyfelek és a hatóságok tőle várják a magyarázatot és a megfelelő intézkedéseket.
Az ASOS esete végső soron egy alapvető vezetői ellentmondásra mutat rá. A vállalatok egyre több feladatot szerveznek ki, hogy gyorsabbak, hatékonyabbak és rugalmasabbak legyenek, miközben a kiszervezéssel együtt a digitális kitettségük is növekszik. A biztonságot azonban nem lehet egyszerűen kiszervezni, mert a reputációs és üzleti következmények annál a márkánál jelentkeznek, amelynek ügyfelei érintettek. A valódi kérdés ezért nem az, hogy megbízunk-e a beszállítóinkban. Hanem az, hogy képesek vagyunk-e ellenőrizni, milyen hozzáférést adunk nekik, és mi történik, ha ez a bizalom egyszer mégsem bizonyul megalapozottnak.