Wenn Angreifer die Krisenkommunikation übernehmen: Cyberangriff per Push-Nachricht verkündet
Eigentlich nutzen Onlineshops Push-Nachrichten für Rabattcodes, Lieferupdates und neue Kollektionen. Vor kurzem erhielten Millionen Menschen eine ganz andere Nachricht aus der ASOS-App: ASOS sei Opfer eines Cyberangriffs geworden. Nur stammte die Nachricht nicht von ASOS, sondern von den Angreifern selbst.
Damit war die Krisenkommunikation verloren, bevor das Unternehmen auch nur ein Statement veröffentlicht hatte. Der ASOS-Hack zeigt, wie schnell ein Unternehmen die Kontrolle über die eigene Geschichte verliert. Und er zeigt, welche Lücken in Technik, Prozessen und Kommunikation dahinterstecken.
Der Angriff begann mit Social Engineering, nicht mit einer Sicherheitslücke
Einen offiziellen Forensikbericht gibt es bisher nicht. Nach aktuellem Stand verschafften sich die Angreifer per Phishing die Zugangsdaten einer Person bei ASOS, laut Medienberichten eines Berufsanfängers. Damit kamen sie an eine SaaS-Plattform, auf der Marketingdaten lagen: Namen, E-Mail-Adressen und Telefonnummern. Auf das gesamte Unternehmensnetzwerk hatten sie nach bisherigen Informationen keinen Zugriff.
Danach folgte eine klassische Erpressung. Die Gruppe forderte Bitcoin und setzte eine Frist von rund zwei Wochen, sonst würden die Daten veröffentlicht. Als nichts passierte, erhöhten sie den Druck auf ungewöhnliche Weise: Sie verschickten über die ASOS-App eine Push-Nachricht an die Kundschaft. Darin nannten sie auch Snowflake als kompromittierte Plattform. Snowflake hat das zurückgewiesen, und auch ASOS hat den Zugriff nicht bestätigt.
Eine Erpressung über ergaunerte E-Mail-Adressen öffentlich zu machen, ist nicht neu. Einen Angriff über den Push-Kanal des Opfers zu verkünden, schon. Die Angreifer nutzten genau den Kanal, der sonst für Kundenbindung sorgt.
Awareness senkt das Risiko, beseitigt es aber nicht
Social Engineering klingt nach einem Problem, das sich mit Schulungen lösen lässt. In der Praxis ist das komplizierter. Gute Angreifer rufen nicht wahllos irgendwo an. Sie recherchieren vorher, welche Software im Einsatz ist, wer wem berichtet und wer in welcher Position arbeitet. Vieles davon steht offen auf LinkedIn. Mit diesem Wissen wirkt ein Anruf glaubwürdig und erzeugt Druck, besonders bei Mitarbeitenden, die so eine Situation noch nie erlebt haben.
Auch Multifaktorauthentifizierung stößt hier an Grenzen. Wer sein Passwort am Telefon herausgibt, gibt im nächsten Schritt oft auch den Code weiter. Schulungen bleiben deshalb wichtig, aber sie sind nur eine Schutzschicht von mehreren.
Technik und Prozesse hätten den Angriff früher sichtbar machen können
Ein wichtiger Hebel ist schlicht die Meldung. Wer am Telefon Zugangsdaten weitergegeben hat, merkt manchmal erst Stunden später, dass etwas nicht stimmte. Dann muss klar sein, dass solche Vorfälle gemeldet werden sollen und das ohne Angst vor Konsequenzen möglich ist.
Technisch gibt es mehrere Stellschrauben:
MFA ohne „angemeldet bleiben“: Wenn Geräte nicht dauerhaft gespeichert werden, müssen Angreifer bei jeder neuen Anmeldung erneut an einen Code kommen.
Automatischer Logout: Inaktive Sitzungen enden nach kurzer Zeit.
Monitoring der Authentifizierungslogs: Anmeldungen aus unerwarteten Ländern oder Netzen fallen auf, bevor jemand größeren Schaden anrichtet.
Alarme bei Konfigurationsänderungen: Wer Freigabeprozesse abschaltet oder E-Mail-Adressen von Admins ändert, löst eine Benachrichtigung aus.
Gerade bei SaaS-Plattformen, die außerhalb des klassischen Unternehmensnetzwerks laufen, fehlt dieses Monitoring oft.
Bei Überweisungen gilt das Vier-Augen-Prinzip, bei Massennachrichten oft nicht
Ab einer bestimmten Summe schauen bei Überweisungen in vielen Unternehmen zwei Personen drauf. Für eine Nachricht an Millionen Kundinnen und Kunden gibt es so eine Freigabe offenbar häufig nicht. Damit schützen Unternehmen ihr Geld besser als ihre Reputation.
Dabei lässt sich das einfach lösen. Eine Person stellt die Nachricht ein, eine zweite gibt sie frei. Dazu gehört ein sauberes Rollenkonzept: Nicht jeder Login in ein CRM oder eine Marketingplattform sollte zum Versand an die gesamte Kundschaft berechtigen. Ein Admin kann solche Workflows zwar wieder aushebeln. Das sollte dann aber eine Benachrichtigung auslösen.
Wer zu lange schweigt, überlässt anderen die Geschichte
Der vielleicht wichtigste Teil des Falls betrifft die Krisenkommunikation. ASOS wusste von der Erpressung, bevor die Push-Nachricht verschickt wurde. Trotzdem kommunizierte das Unternehmen nicht. Vielleicht nahm man die Drohung einer neuen Gruppe ohne Vorgeschichte nicht ernst genug. Wer aber nicht zuverlässig prüfen kann, ob jemand in den eigenen Systemen war, sollte so eine Drohung ernst nehmen.
Die Folgen waren deutlich: Laut Berichten berichtete die BBC bereits live über den Vorfall, als es noch kein Statement von ASOS gab. Bis zur ersten Stellungnahme vergingen Stunden. Und darin war zunächst nur von einer unautorisierten Benachrichtigung die Rede, nicht von einem Cyberangriff, obwohl genau der schon in der Nachricht der Angreifer stand.
Was ohnehin veröffentlicht wird, verliert an Wucht, wenn das Unternehmen es selbst zuerst erzählt. Dafür braucht es vorbereitete Playbooks. Wenn vorher feststeht, dass im Ernstfall ein Statement kommt, wer es freigibt und über welche Kanäle es läuft, stellt sich die Frage „Sagen wir etwas oder nicht?“ gar nicht erst.
Der Reputationsschaden ist real, aber oft nicht von Dauer
An der Börse verlor die ASOS-Aktie direkt rund zehn Prozent. Das ist viel, zeigt aber nur einen Teil des Bildes. Reputationsschäden sind im ersten Moment heftig und flachen oft schnell wieder ab. Bei CrowdStrike sackte die Aktie nach dem fehlerhaften Update, das unter anderem Flughäfen lahmlegte, zunächst massiv ab. Heute steht sie höher als vorher.
Wie stark ein Vorfall wirkt, hängt von der Branche ab. Im Modehandel kaufen verunsicherte Kunden schnell woanders ein, der Umsatz reagiert unmittelbar. Im Maschinenbau sind die Auftragsbücher oft für lange Zeit gefüllt, dort wirken andere Szenarien stärker. Ein Produktionsstopp durch Ransomware kann Kunden dauerhaft zur Konkurrenz treiben. Gestohlene Forschungsdaten können ein Produkt entwerten, bevor es überhaupt auf den Markt kommt.
Deshalb gehört eine Business-Impact-Analyse für das eigene Geschäftsmodell zur Grundausstattung. Sie zeigt, welche Angriffsszenarien wirklich wehtun.
Diese Gruppe dürfte nicht zum letzten Mal auffallen
Die Gruppe hinter dem ASOS-Hack ist neu. Laut Group-IB existiert ihr Kommunikationskanal unter diesem Namen noch nicht lange, vorher wurden dort unter anderem Counter-Strike-Skins gehandelt. Ein bekannter britischer Security-Researcher sprach passend von „Advanced Persistent Teenagers“.
Unterschätzen sollte man sie trotzdem nicht. Medienberichten zufolge wird die Gruppe auch mit Vorfällen bei KLM und H&M in Verbindung gebracht. Die Ziele sind große Konzerne, die Gruppe scheut keine Aufmerksamkeit, und die Push-Aktion wirkt auch wie Eigenwerbung. Gut möglich, dass sie ihre Taktiken weiterentwickelt, etwa in Richtung Ransomware oder CEO-Fraud.
Für Unternehmen heißt das: Detection and Response, Awareness und eine vorbereitete Krisenkommunikation gehören zusammen. Erst zusammen machen sie ein Unternehmen resilient.
In der aktuellen Folge von Cybersecurity Basement sprechen Michael und Andreas ausführlich über den ASOS-Hack. Sie erklären, wie die Angreifer vorgegangen sind und was in der Krisenkommunikation schiefgelaufen ist.