در رویدادی که زنگ خطر جدیدی برای امنیت زنجیره تأمین نرم‌افزاری به صدا درآورده است، فروشگاه آنلاین مشهور ASOS در مهرماه ۱۴۰۵ (اکتبر ۲۰۲۶) تأیید کرد که مهاجمان سایبری موفق شده‌اند با دسترسی غیرمجاز به پلتفرم‌های شخص ثالث متصل به این مجموعه، اعلانات (Push Notifications) گمراه‌کننده‌ای را برای میلیون‌ها کاربر اپلیکیشن این شرکت ارسال کنند.
سناریوی حمله و نقض زنجیره تأمین
بر اساس گزارش‌های اولیه منتشر شده در مهرماه ۱۴۰۵، مهاجمان توانستند با دور زدن لایه‌های امنیتی در یک سرویس شخص ثالث که ASOS از آن برای مدیریت داده‌ها و ارسال اعلانات استفاده می‌کند، پیامی با عنوان صریح «ASOS HACKED» را مستقیماً بر روی نمایشگر کاربران اپلیکیشن در سراسر جهان ارسال کنند. این اقدام که به نظر می‌رسد بخشی از یک کارزار اخاذی دیجیتال باشد، حاوی تهدیدهایی مبنی بر افشای داده‌های کاربران در صورت عدم برقراری ارتباط با مهاجمان از طریق یک کانال تلگرامی بوده است.
این حادثه نمونه‌ای بارز از خطرات «زنجیره تأمین» است؛ جایی که شرکت اصلی (ASOS) ممکن است امنیت زیرساختی مستحکمی داشته باشد، اما یکپارچگی (Integration) با سرویس‌های جانبی، نقطه ضعف حیاتی برای نفوذ ایجاد می‌کند. مهاجمان با ادعای دسترسی به زیرساخت‌های شرکت Snowflake سعی کردند اعتبار و فشار روانی بیشتری به این حمله وارد کنند، هرچند Snowflake تا لحظه نگارش این تحلیل، هرگونه نفوذ به پلتفرم اختصاصی خود را رد کرده و اعلام داشته تحقیقات برای شناسایی منشأ واقعی این دسترسی غیرمجاز ادامه دارد.
ابعاد فنی و گستره تحت تأثیر
این نفوذ تنها به یک منطقه جغرافیایی محدود نبوده و بازخورد کاربران در کشورهایی نظیر استرالیا، فرانسه، سوئد و ایرلند نشان‌دهنده گستردگی عملیات مهاجمان است. با توجه به آمار بیش از ۱۰ میلیون بار دانلود اپلیکیشن ASOS در فروشگاه Google Play، پتانسیل آسیب‌پذیری کاربران بسیار بالا ارزیابی می‌شود.
- ماهیت حمله: دسترسی غیرمجاز به سرویس ارسال اعلان (Notification Service) از طریق واسط‌های شخص ثالث.
- نوع تهدید: اخاذی (Extortion) با استفاده از تهدید به افشای داده‌های کاربری.
- وضعیت داده‌های حساس: بر اساس بیانیه‌های اولیه ASOS، تا این لحظه شواهدی از نفوذ به دیتابیس‌های کارت‌های بانکی یا رمز عبور کاربران یافت نشده است.
- پلتفرم‌های تحت تأثیر: اپلیکیشن موبایل ASOS (اندروید و احتمالاً iOS).
واکنش سازمانی و توصیه‌های امنیتی
ASOS در پاسخ به این بحران، ضمن عذرخواهی از کاربران، اعلام کرده است که سیستم‌های داخلی، وب‌سایت و اپلیکیشن این فروشگاه در وضعیت عملیاتی عادی قرار دارند. با این حال، فقدان اطلاع‌رسانی اولیه به نهادهای ناظر مانند ICO بریتانیا، انتقادات کارشناسان امنیتی را به همراه داشته است. برای کاربران، مهم‌ترین اقدام در شرایط کنونی، عدم کلیک بر روی لینک‌های مشکوک در اعلانات و تغییر رمز عبور در صورت مشاهده رفتارهای غیرعادی در پنل کاربری است.
نتیجه‌گیری برای متخصصان امنیت
این رویداد بار دیگر اهمیت مدل «اعتماد صفر» (Zero Trust) را یادآوری می‌کند. سازمان‌ها باید فراتر از امنیت شبکه داخلی، تمامی APIها و دسترسی‌های سرویس‌های جانبی را با لایه‌های احراز هویت چندمرحله‌ای (MFA) و مانیتورینگ دقیق‌تر محافظت کنند. اتکا به سرویس‌های ابری شخص ثالث نباید به معنای «اعتماد مطلق» به آن‌ها باشد؛ بلکه باید ابزارهای مانیتورینگ برای تشخیص فعالیت‌های غیرعادی (Anomaly Detection) در سطوح دسترسی این واسط‌ها تعبیه شود.
