ASOS: تسريب بيانات العملاء وتفاصيل البحث بعد اختراق عبر موظف
تعرضت منصة ASOS لاختراق أمني أدى إلى سرقة بيانات العملاء وتفاصيل البحث الشخصية، بعد حصول المخترقين على بيانات اعتماد موظف، مما يثير تساؤلات حول بروتوكولات الأمن الأساسية.
مقدمة تحليلية
بدأت تفاصيل اختراق ASOS بالظهور في 2026-10-09، مؤكدة سرقة بيانات عملاء حيوية تجاوزت مجرد معلومات الاتصال. جاء تأكيد الشركة بعد تلقي العملاء إشعارات دفع عبر تطبيق ASOS من المخترقين أنفسهم، مما كشف عن فشل مبدئي في إدارة الأزمة. اعترفت ASOS بوصول المهاجمين إلى معلومات العملاء بعد خداع موظف للحصول على بيانات اعتماده. بينما زعمت الشركة عدم الوصول إلى معلومات بطاقات الدفع أو كلمات مرور العملاء، أظهر تقرير BBC أن البيانات المسروقة تشمل أكثر من "المعلومات الشخصية الأساسية" التي ذكرتها ASOS في البداية.
هذه الواقعة تضع أسئلة مباشرة حول مدى شفافية ASOS وقدرتها على حماية قاعدة بياناتها.
التحليل التقني
تمكن المهاجمون من اختراق ASOS عبر استغلال نقطة ضعف بشرية: خداع موظف للحصول على بيانات اعتماده. هذه البيانات المسروقة استُخدمت للوصول إلى معلومات مخزنة على منصات تابعة لجهات خارجية تستخدمها ASOS. وقد ذكر المهاجمون في إشعارهم الأصلي اسم Snowflake، وهي منصة لتخزين وتحليل البيانات. لاحقًا، صرحوا لـ BBC أنهم وصلوا إلى المعلومات عبر Simon AI، وهي منصة مبنية على Snowflake تستخدمها ASOS لتخصيص تجربة العملاء. من جانبها، أكدت Snowflake عدم وجود أي اختراق لمنصتها الأساسية، مشيرة إلى أن الوصول تم باستخدام بيانات اعتماد مسروقة لحساب العميل، وليس عبر ثغرة في Snowflake أو Simon AI نفسها.
تضمنت البيانات المسروقة، وفقًا لـ BBC التي حصلت على عينة من المهاجمين:
- الأسماء والعناوين المنزلية.
- أرقام الهواتف وعناوين البريد الإلكتروني.
- أرقام العملاء وتواريخ الميلاد.
- عمليات البحث التي أجراها العملاء على موقع ASOS الإلكتروني.
- تفاصيل مثل تاريخ بدء العميل استخدام ASOS.
الوصول إلى مصطلحات بحث محددة مثل “reclaimed vintage” و“glamorous wide fit” و“Asos petite” يحول هذا الاختراق من مجرد قائمة اتصال إلى ملفات تعريف عملاء مفصلة. هذه المعلومات تكشف عن اهتمامات التسوق الخاصة بالعملاء وعلاقتهم بالبائع، مما يزيد من مخاطر الاستهداف الموجه. زعمت ASOS أنها عززت ضوابطها الأمنية وأغلقت المنصات المتأثرة، لكن تفاصيل الاختراق تشير إلى ثغرات أمنية أساسية في إدارة الوصول.
السياق وتأثير السوق
كانت أزمة ASOS في التواصل مع العملاء بنفس قدر أهمية الاختراق الفني. تلقى العملاء أول إشعار حول الاختراق من المجرمين السيبرانيين أنفسهم، عبر تطبيق ASOS. تبع ذلك “خمس ساعات” تقريبًا من الصمت من جانب ASOS، وفقًا لتقرير Independent، مما ترك العملاء في حالة قلق وتساؤل. انتقد الخبير الأمني كيفن بومونت استجابة ASOS، مشبهًا إياها بـ "أخطاء العلاقات العامة ذاتها التي ارتكبتها Co-op وM&S بعدم صراحتهم مع العملاء". هذا التشبيه يضع ASOS ضمن فئة الشركات التي تفشل في التعامل بشفافية مع الأزمات، مما يقلل الثقة بشكل مباشر.
هدد المهاجمون بنشر البيانات، مع إبلاغ Yahoo Finance بأنهم منحوا ASOS “أسبوعين” للتواصل معهم وطلبوا فدية مقابل حذف معلومات العملاء. لم تكشف ASOS ما إذا كانت ستدفع الفدية. هذه المعطيات، خاصة سرقة تفاصيل البحث، تخلق خطرًا كبيرًا من رسائل التصيد الاحتيالي الموجهة. رسالة تعرف اسم العميل أو ما بحث عنه، تزيد من إقناعه وتجعل التمييز بين الرسائل الحقيقية والمزيفة أكثر صعوبة. هذا التحول في نوعية البيانات المسروقة يرفع معيار المخاطر عن الاختراقات السابقة التي اقتصرت على بيانات الاتصال الأساسية، مما يتطلب استجابات أمنية وتوعوية أكثر تطوراً.
رؤية Glitch4Techs
يعكس اختراق ASOS فشلاً أمنياً أساسياً يتجاوز التعقيدات التقنية، ويصل إلى تقصير في حماية نقاط الضعف البشرية وسوء إدارة الأزمات. لم يكن الاختراق نتيجة ثغرة متقدمة في Snowflake أو Simon AI، بل نتيجة مباشرة لـ "خداع موظف للحصول على بيانات اعتماده". هذا يؤكد أن ASOS أهملت أبسط مبادئ الأمن السيبراني: تدريب الموظفين وإدارة الوصول. إن رد فعل الشركة، الذي اتسم بـ "خمس ساعات" من الصمت بعد إخطار المخترقين المباشر للعملاء، يعكس خطة استجابة للأزمات غير موجودة أو غير فعالة، مما يفاقم الضرر بسمعة العلامة التجارية وثقة العملاء.
هذه الواقعة ليست مجرد تسريب بيانات، بل هي تذكير قاسٍ بأن التكنولوجيا المتقدمة عديمة الفائدة دون أمن بشري قوي.
كن أول من يعرف بمستقبل التقنية
أهم الأخبار والتحليلات التقنية مباشرة في بريدك.
