شرکت خرده‌فروشی آنلاین ASOS به تازگی در گزارشی رسمی تأیید کرده است که نفوذ به سیستم‌های اطلاعاتی این شرکت و افشای بخشی از داده‌های کاربران، ناشی از یک حمله موفق «مهندسی اجتماعی» (Social Engineering) و سرقت اعتبارنامه‌های حساس (Credential Theft) بوده است. این حادثه امنیتی که در هفته‌های پایانی تابستان ۱۴۰۳ رخ داد، زنگ خطری جدی برای غول‌های تجارت الکترونیک در خصوص آسیب‌پذیری‌های انسانی در لایه دسترسی به سیستم‌هاست.
مکانیسم حمله: وقتی عامل انسانی، فایروال‌ها را دور می‌زند
بر اساس مستندات فنی منتشر شده، مهاجمان برای ورود به شبکه داخلی ASOS از روش‌های سنتی نفوذ به شبکه (مانند اکسپلویت‌های پیچیده نرم‌افزاری) استفاده نکردند. در عوض، آن‌ها با بهره‌گیری از مهندسی اجتماعی، موفق شدند دسترسی‌های لازم را از طریق فریب کارکنان یا پیمانکاران دارای سطح دسترسی بالا (Privileged Users) به دست آورند. سرقت اعتبارنامه (Credential Theft) در این حمله، به مهاجمان اجازه داد تا بدون تحریک سیستم‌های تشخیص نفوذ (IDS) یا جلوگیری از نفوذ (IPS)، با نام کاربری و رمز عبور معتبر وارد محیط‌های حساس داده شوند.
پیامدهای نفوذ و داده‌های در معرض خطر
ASOS در اطلاعیه خود اعلام کرده است که برخی از اطلاعات شخصی کاربران در این حادثه مورد دسترسی غیرمجاز قرار گرفته است. اگرچه این شرکت ابعاد دقیق فنی نفوذ را محدود به لایه‌های خاصی از پایگاه داده می‌داند، اما طبق اصول حریم خصوصی (GDPR)، اطلاع‌رسانی به کاربران آسیب‌دیده از الزامات قانونی است. داده‌های در معرض خطر معمولاً شامل اطلاعات پروفایل کاربری، تاریخچه سفارشات و احتمالاً اطلاعات تماس است. این سطح از دسترسی نشان‌دهنده شکست در استراتژی‌های «اعتماد صفر» (Zero Trust) و ضعف در پروتکل‌های احراز هویت چندعاملی (MFA) در بخش‌های هدف قرار گرفته است.
اهمیت احراز هویت چندعاملی (MFA) و آموزش‌های امنیتی
این حادثه بار دیگر ثابت کرد که حتی مستحکم‌ترین معماری‌های ابری و زیرساخت‌های سرور در برابر حملات مهندسی اجتماعی آسیب‌پذیر هستند. تحلیلگران امنیتی بر این باورند که پیاده‌سازی صرف سیستم‌های امنیتی کافی نیست؛ سازمان‌های بزرگ باید بر روی موارد زیر سرمایه‌گذاری کنند:
- اجرای سخت‌گیرانه پروتکل‌های احراز هویت چندعاملی (FIDO2/WebAuthn) به جای روش‌های مبتنی بر پیامک یا کدهای یک‌بار مصرف ضعیف.
- آموزش‌های مداوم به پرسنل برای شناسایی تکنیک‌های فیشینگ و مهندسی اجتماعی (Security Awareness Training).
- پیاده‌سازی اصل «حداقل دسترسی» (Least Privilege) برای جلوگیری از حرکت عرضی مهاجمان در صورت سرقت اعتبارنامه یک حساب کاربری.
مشخصات فنی و تحلیل حادثه
- نوع حمله: مهندسی اجتماعی و سرقت اعتبارنامه (Credential Theft).
- هدف: دسترسی غیرمجاز به پایگاه داده مشتریان.
- آسیب‌پذیری اصلی: خطای انسانی در مدیریت سطوح دسترسی (IAM).
- اقدام اصلاحی: بازنشانی اجباری رمز عبور و بازنگری در پروتکل‌های دسترسی کارکنان.
نتیجه‌گیری و درس‌های آموخته شده
واقعه امنیتی ASOS پیامی روشن برای صنعت فناوری است: امنیت تنها یک مسئله زیرساختی یا برنامه‌نویسی نیست؛ بلکه یک چالش پیوسته در تقاطع انسان و ماشین است. در حالی که ابزارهای دفاعی مدرن مانند CrowdStrike یا راهکارهای نظارتی ابری برای شناسایی رفتار غیرعادی (UEBA) ضروری هستند، اما اگر سیاست‌های دسترسی کاربران به درستی تنظیم نشود، تمامی دیوارها فرو می‌ریزند. ASOS اکنون در حال همکاری با مراجع ذی‌صلاح جهت بررسی جزئیات بیشتر و تقویت لایه‌های احراز هویت خود است.
