در مهرماه ۱۴۰۵، غول خرده‌فروشی مد بریتانیایی ASOS با یک بحران امنیتی جدی مواجه شد که در آن هکرها با نفوذ به بسترهای ثالث، از سیستم نوتیفیکیشن اختصاصی این شرکت برای ارسال پیام‌های تهدیدآمیز به کاربران استفاده کردند. این رخداد بار دیگر ضعف‌های موجود در امنیت زنجیره تأمین نرم‌افزاری و دسترسی‌های متقابل بین سرویس‌های سازمانی را در کانون توجه متخصصان امنیت سایبری قرار داده است.
جزئیات فنی نفوذ و بهره‌برداری از پلتفرم‌های ثالث
بر اساس گزارش‌های رسمی منتشر شده در بورس لندن، مهاجمان که خود را گروه Xuanye معرفی کرده‌اند، موفق شدند به یکی از پلتفرم‌های شخص‌ثالث که ASOS برای تحلیل و مدیریت داده‌های مشتریان خود از آن استفاده می‌کند، دسترسی پیدا کنند. برخلاف تصور اولیه مبنی بر نفوذ به هسته اصلی زیرساخت Snowflake، تحقیقات نشان می‌دهد که این نفوذ از طریق سرقت اعتبارنامه‌ها (Credentials) با جعل هویت یک رابط معتبر صورت گرفته است. این روش که در دسته‌بندی حملات مهندسی اجتماعی قرار می‌گیرد، نشان‌دهنده اهمیت حیاتی فرآیندهای احراز هویت در محیط‌های ابری است.
نقش Snowflake و آسیب‌پذیری‌های پیکربندی
در این حادثه، مهاجمان ادعا کردند که داده‌های میزبانی شده روی زیرساخت تحلیل داده Snowflake را به طور کامل در اختیار دارند. تحلیلگران امنیتی تأکید می‌کنند که خود سیستم Snowflake دچار رخنه امنیتی نشده است، بلکه «نمونه» (Instance) اختصاصی ASOS به دلیل احتمال عدم استفاده از احراز هویت چندعاملی (MFA) یا مدیریت ضعیف سطوح دسترسی، مورد سوءاستفاده قرار گرفته است. این مسئله مؤید آن است که حتی امن‌ترین پلتفرم‌های ذخیره‌سازی داده (PaaS) در صورت پیکربندی نادرست توسط مشتری، می‌توانند دروازه‌ای برای سرقت اطلاعات حساس باشند.
عملیات روانی و بهره‌برداری از زیرساخت Push Notification
یکی از ابعاد نگران‌کننده این حمله، استفاده از زیرساخت‌های داخلی ASOS برای برقراری ارتباط با مشتریان بود. مهاجمان با دسترسی به سیستم ارسال اعلانات (Push Notifications)، پیامی را به صورت مستقیم برای میلیون‌ها کاربر ارسال کردند که حاوی هشداری مبنی بر نشت اطلاعات و درخواست برای مذاکره با واحد فناوری اطلاعات بود. این اقدام نه تنها یک ترفند برای ایجاد فشار روانی بر مدیران ارشد شرکت جهت تسلیم در برابر باج‌خواهی بود، بلکه اعتماد کاربران به هشدارهای امنیتی رسمی شرکت را نیز به شدت متزلزل کرد.
مشخصات فنی و داده‌های نشت‌یافته
- ماهیت نفوذ: دسترسی غیرمجاز به پلتفرم تحلیل داده‌های ثالث.
- داده‌های به سرقت رفته: نام کامل، نشانی منزل، شماره تلفن، آدرس ایمیل و کوئری‌های جستجوی کاربران در وب‌سایت.
- بردار حمله: جعل هویت (Impersonation) برای سرقت اعتبارنامه‌های ورود.
- مؤلفه تهدید: استفاده از سیستم نوتیفیکیشن داخلی (In-App Push) برای باج‌خواهی علنی.
- تأثیر بر کسب‌وکار: مخاطره برای ۱۷ میلیون مشتری ثبت‌نام شده در دیتابیس ASOS.
درس‌هایی برای امنیت سازمانی در سال ۱۴۰۵
این واقعه درس‌های بزرگی برای سازمان‌هایی دارد که به شدت به پلتفرم‌های SaaS و PaaS وابسته هستند. نخست، مدل مسئولیت مشترک (Shared Responsibility Model) در فضای ابری به این معناست که امنیت داده‌ها در پلتفرم‌هایی مانند Snowflake حتی در صورت تضمین امنیت زیرساخت توسط ارائه‌دهنده، همچنان مسئولیت مستقیم مشتری است. دوم، ایزوله‌سازی دسترسی‌ها به سرویس‌های نوتیفیکیشن و APIهای ارتباطی با مشتری باید به عنوان یک بخش کلیدی در استراتژی امنیت سایبری (Zero Trust) دیده شود.
