ASOS تربط تسريب البيانات بهجوم هندسة اجتماعية وسرقة بيانات اعتماد
أكدت شركة الأزياء البريطانية ASOS أن الحادث الأمني الأخير سببه انتحال هوية جهة موثوقة لسرقة بيانات دخول موظف، مما سمح للمهاجمين بالوصول إلى معلومات حساسة على أنظمة خارجية.
رضوان عبدالهاديمحرر وكاتب تقني
تأكيد رسمي لأسلوب الهجوم
أصدرت شركة ASOS، وهي واحدة من أكبر تجار التجزئة للأزياء عبر الإنترنت في المملكة المتحدة، بياناً رسمياً يوضح طبيعة الحادث الأمني الذي تعرضت له في وقت سابق من هذا الأسبوع. أكدت الشركة في إشعار أمني مشترك مع موقع BleepingComputer أن الهجوم لم يكن نتيجة ثغرة تقنية مباشرة في بنيتها التحتية الأساسية، بل كان هجوماً هندسياً اجتماعياً استهدف العنصر البشري. ويمكن الرجوع إلى BleepingComputer للاطلاع على التفاصيل الأصلية للمصدر.
ووفقاً للتفاصيل التي كشفتها الشركة، نجح طرف غير مصرح له في الوصول إلى حساب أحد موظفي ASOS من خلال انتحال هوية جهة اتصال موثوقة. هذا الأسلوب، المعروف بانتحال الشخصية، مكّن المهاجمين من الحصول على بيانات الدخول (Credentials) الخاصة بالموظف، وهو ما يمثل نقطة ضعف شائعة في بيئات العمل الحديثة حيث تعتمد العديد من العمليات على صلاحيات الموظفين للوصول إلى الأنظمة الحساسة.
آلية الوصول إلى المنصات الخارجية
بعد الحصول على بيانات الدخول، قام المهاجمون باستخدام هذه الصلاحيات للوصول إلى معلومات مخزنة على منصات طرف ثالث (Third-party platforms) تستخدمها ASOS في عملياتها اليومية. لم يوضح البيان تفاصيل دقيقة حول طبيعة هذه المنصات أو نوع البيانات المخزنة عليها تحديداً، لكنه أكد أن الوصول كان محدوداً بهذه الأنظمة الخارجية دون اختراق الموقع الرئيسي أو تطبيق الهاتف مباشرةً.
تُعدّ هذه الحادثة تذكيراً خطيراً بمدى أهمية تأمين سلاسل التوريد الرقمية والتكاملات مع الأطراف الخارجية. فبينما تركز الشركات غالباً على حماية خوادمها الداخلية، قد تصبح المنصات التي تتكامل معها نقاط دخول سهلة للمهاجمين إذا لم تكن إجراءات التحقق متعددة العوامل (MFA) صارمة بما يكفي، أو إذا تم استهداف الموظفين الذين يملكون صلاحيات وصول واسعة.
تسلسل الأحداث وإشعارات العملاء
بدأت القصة تتضح للعملاء في 6 أكتوبر 2026، عندما تلقى مستخدمو تطبيق ASOS على أجهزتهم المحمولة إشعارات دفع (Push notifications) غير متوقعة. ادعت الجهة المتسببة في هذه الإشعارات، والتي سمت نفسها 'Xuanye Group'، أنها سربت بيانات العملاء، وحثت موظفي الشركة على التواصل معها عبر منصة تيليجرام. هذا النوع من التهديدات العلنية هو نمط شائع في هجمات الفدية أو تسريب البيانات، حيث يحاول المهاجمون الضغط على الشركة للإفصاح عن حجم الخرق أو دفع فدية.
بعد هذه الحادثة، سارعت ASOS إلى تأكيد وقوع تسريب بيانات عبر بيان منشور على موقعها الإلكتروني. أوضحت الشركة أن الحادث قد أدى إلى كشف بعض المعلومات الشخصية 'الأساسية' وتفاصيل الاتصال الخاصة بالعملاء. ومع ذلك، شددت ASOS على أن بيانات بطاقات الدفع وكلمات مرور الحسابات لم يتم الوصول إليها أو تسريبها، وهو ما يعد تطوراً إيجابياً يقلل من المخاطر المالية المباشرة على المستخدمين.
نطاق البيانات المتأثرة
في التحديث الأخير الذي أرسلته الشركة إلى العملاء المتأثرين، حددت ASOS بدقة نوع المعلومات التي تم اختراقها. وتشمل هذه المعلومات 'معلومات معينة تتعلق بالحسابات وغير الشخصية'، بالإضافة إلى تفاصيل الاتصال. ولم تذكر الشركة بعد العدد الدقيق للعملاء المتأثرين، حيث لا تزال التحقيقات جارية لتحديد النطاق الكامل للحادث.
من الجدير بالذكر أن ASOS أكدت أن موقعها الإلكتروني وتطبيقها للهواتف الذكية كانا آمنين تماماً طوال فترة الحادث، وما زالا كذلك. وهذا يعني أن العمليات التجارية اليومية لم تتوقف، وأن العملاء يمكنهم المتابعة في التسوق دون قلق بشأن سلامة أنظمتهم الأساسية، مع التركيز على حماية بياناتهم الشخصية التي قد تكون قد سُربت.
استجابة الشركة والإجراءات الأمنية
بمجرد اكتشاف الاختراق، اتخذت ASOS إجراءات فورية لعزل المنصات المتأثرة وقفل الوصول إليها لمنع أي تسريب إضافي للبيانات. كما أطلقت الشركة تحقيقاً داخلياً شاملاً بمساعدة خبراء أمن سيبراني خارجيين، بالتعاون مع سلطات إنفاذ القانون والجهات التنظيمية المختصة. هذه الاستجابة السريعة تعكس التزام الشركة بشفافية التعامل مع الحوادث الأمنية وحماية حقوق عملائها.
أشارت الشركة أيضاً إلى أنها بدأت بالفعل في تنفيذ تدابير أمنية إضافية لتعزيز دفاعاتها ومنع تكرار مثل هذه الحوادث في المستقبل. وتشمل هذه التدابير على الأرجح مراجعة بروتوكولات التحقق من هوية الموظفين، وتعزيز إجراءات الهندسة الاجتماعية، وتحسين مراقبة الوصول إلى المنصات الخارجية. وتؤكد ASOS أنها ستشارك أي تطورات مهمة مع عملائها فور توفرها.
نصائح أمنية للعملاء
على الرغم من أن ASOS أكدت أن لا حاجة لاتخاذ أي إجراء على حسابات العملاء، إلا أنها حذرت من ضرورة توخي الحذر تجاه أي رسائل أو مكالمات غير متوقعة تدّعي أنها من الشركة. ونصحت الشركة عملاءها بعدم مشاركة كلمات المرور أو رموز الأمان أو تفاصيل الدفع عبر أي رسائل أو مكالمات غير مرسلة من جانبهم (Unsolicited).
تعد هذه النصيحة حاسمة في ظل تزايد هجمات التصيد الاحتيالي (Phishing) التي تستغل الحوادث الأمنية الكبرى لاستهداف الضحايا. يجب على المستخدمين التحقق دائماً من هوية المرسل قبل مشاركة أي معلومات حساسة، والاعتماد على القنوات الرسمية للشركة فقط للحصول على التحديثات الأمنية. كما يُنصح بتفعيل المصادقة الثنائية (2FA) على جميع الحسابات المرتبطة بـ ASOS لتعزيز طبقة الحماية الإضافية.
المصادر
- BleepingComputerASOS links data breach to social engineering attack, credential theft
تابع التسلسل الزمني
أخبار مرتبطة
ASOS تؤكد اختراق منصة تواصل ثالثة وسرقة بيانات أساسية
تأكيد شركة ASOS للتسوق الإلكتروني تعرضها لاختراق أمني عبر منصة تواصل ثالثة، مع تهديدات بسرقة بيانات العملاء من بيئة Snowflake.
مخاطر احتفاظ شركات الاتصالات بسجلات المكالمات لسنوات طويلة
تكشف تقارير تقنية عن مخاطر احتفاظ شركات الاتصالات بسجلات المكالمات والرسائل لسنوات، مما يعرض خصوصية المستخدمين للخطر في حال اختراق البيانات.
شركة نيكاي تعلن عن ثالث اختراق أمني وتكشف تسريب ملايين السجلات
أعلنت مجموعة نيكاي الإعلامية اليابانية عن تعرضها لثالث اختراق أمني في غضون شهر واحد، مما أدى إلى كشف 1.83 مليون سجل معلومات شخصية مخزنة سحابياً.
تحذير طارئ من دروبال بشأن ثغرة حرجة في Commerce Core
أصدر فريق دروبال تحذيراً عاجلاً لمديري المواقع لتصحيح ثغرة تجاوز صلاحيات حرجة في وحدة Commerce Core التي تستخدمها آلاف المواقع وتتعرض لاستغلال نشط.
