Het incident laat zien dat niet alleen systemen en bedrijfsdata interessant zijn voor cybercriminelen, maar ook de kanalen waarmee organisaties communiceren met hun klanten. Een goede aanleiding om kritisch te kijken naar toegangsbeheer, monitoring en de manier waarop organisaties omgaan met cyberincidenten.

Wat gebeurde er bij ASOS?

Volgens ASOS maakten de aanvallers gebruik van social engineering. Daarbij deden ze zich voor als een vertrouwd contact om de inloggegevens van een medewerker te bemachtigen. Met die gegevens kregen ze toegang tot externe platforms die ASOS gebruikt.

Bij de aanval zijn persoonsgegevens van klanten ingezien, waaronder namen, contactgegevens en bepaalde accountgerelateerde informatie. Volgens aanvullende berichtgeving zijn ook gegevens zoals recente zoekgeschiedenis toegankelijk geweest. ASOS heeft bevestigd dat betaalkaartgegevens en accountwachtwoorden niet zijn ingezien.

Een cyberaanval begint dus niet altijd met een technische kwetsbaarheid. Ook het misleiden van een medewerker kan voldoende zijn om toegang te krijgen tot systemen en gegevens.

Een bericht via een kanaal dat je vertrouwt 

Bij phishing leren we medewerkers om goed te kijken naar de afzender van een bericht. Ken je de afzender? Klopt het e-mailadres? Is de link betrouwbaar? Maar wat als een bericht binnenkomt via een officiële app van een organisatie?

Juist dat maakt dit incident opvallend. Een bericht dat via een officieel communicatiekanaal binnenkomt, kan voor ontvangers betrouwbaar lijken, terwijl het niet daadwerkelijk door de organisatie is verstuurd.

Daarom verdienen niet alleen systemen waarin bedrijfsdata staat aandacht, maar ook accounts, applicaties en koppelingen waarmee berichten naar klanten of medewerkers worden verstuurd. Ongeautoriseerde toegang tot zo'n kanaal kan gevolgen hebben voor de beveiliging van gegevens én het vertrouwen van klanten. Bovendien kunnen buitgemaakte persoonsgegevens worden misbruikt voor gerichte phishingaanvallen.  

Weet jij wie er allemaal toegang heeft?

Weet je precies wie er binnen jouw organisatie toegang heeft tot je systemen, data en communicatiekanalen? Waarschijnlijk zijn dat meer mensen en applicaties dan je in eerste instantie denkt. Naast medewerkers kunnen ook IT-leveranciers, marketingbureaus en andere externe partijen toegang hebben. Daarnaast zijn steeds meer applicaties met elkaar verbonden en zijn er technische accounts die op de achtergrond toegang hebben tot systemen.

Het is daarom belangrijk om regelmatig te controleren wie waar toegang toe heeft. Welke rechten zijn toegekend? Is die toegang nog noodzakelijk? Is multifactorauthenticatie (MFA) ingesteld waar dat mogelijk is? En worden accounts en koppelingen verwijderd wanneer ze niet meer worden gebruikt?

Ook phishingbestendige MFA en goed ingericht identiteits- en toegangsbeheer kunnen helpen om misbruik van buitgemaakte inloggegevens te voorkomen of te beperken. Daarbij is het belangrijk om niet alleen naar medewerkersaccounts te kijken, maar ook naar externe partijen en technische koppelingen. Toegang die ooit nodig was, hoeft dat inmiddels niet meer te zijn.

Hoe snel merk je dat er iets niet klopt?

Natuurlijk wil je voorkomen dat iemand ongeautoriseerd toegang krijgt tot je omgeving, maar ieder cyberincident voorkomen is simpelweg niet mogelijk. Daarom is het minstens zo belangrijk dat je snel merkt wanneer er iets niet klopt. Denk bijvoorbeeld aan een inlogpoging vanaf een ongebruikelijke locatie, een onverwachte wijziging in toegangsrechten of een account dat ineens activiteiten uitvoert die niet passen bij normaal gebruik.

Met goede beveiligingsmonitoring kun je afwijkend gedrag sneller signaleren. Oplossingen zoals Managed Detection & Response (MDR) helpen om verdachte activiteiten continu te detecteren en te onderzoeken, zodat er snel actie kan worden ondernomen wanneer dat nodig is.

Maar alleen een melding ontvangen is niet genoeg. Er moet ook duidelijk zijn wat er daarna gebeurt. Wie onderzoekt wat er aan de hand is? Wie kan een account of koppeling blokkeren? En wie moet intern of extern worden geïnformeerd? Dat zijn vragen waar je liever vooraf over nadenkt dan op het moment dat er daadwerkelijk iets gebeurt.

Hoe communiceer je tijdens een cyberincident?

Een ander belangrijk aandachtspunt is de communicatie tijdens een cyberincident. Stel dat een systeem dat je normaal gesproken gebruikt om klanten of medewerkers te informeren onderdeel is van een incident. Hoe bereik je hen dan? Is er een alternatief kanaal beschikbaar? En is duidelijk wie er verantwoordelijk is voor de communicatie?

Hetzelfde geldt voor e-mail, een klantportaal of social media. Wanneer een van deze kanalen niet meer betrouwbaar is, moet je op een andere manier kunnen communiceren. Leg daarom in een incidentresponsplan niet alleen vast wie technisch verantwoordelijk is, maar ook hoe en via welke kanalen je communiceert wanneer er iets misgaat. Zo voorkom je dat je tijdens een incident nog moet uitzoeken wie waarvoor verantwoordelijk is.

Van inzicht naar digitale weerbaarheid 

Het incident bij ASOS is een goede aanleiding om verder te kijken dan alleen de beveiliging van systemen en bedrijfsdata. Ook accounts, applicaties, externe partijen en communicatiekanalen maken onderdeel uit van je digitale omgeving en verdienen aandacht. 

Daarom is het belangrijk om naar het volledige IT-ecosysteem te kijken. Verschillende onderdelen staan met elkaar in verbinding en beveiligingsmaatregelen moeten daarop aansluiten. Van goed ingericht toegangsbeheer en verschillende beveiligingslagen tot 24/7 monitoring, proactief beheer en een duidelijk incidentresponsplan.

Want hoe goed je beveiliging ook is ingericht, risico's volledig uitsluiten kan niet. Digitale weerbaarheid draait niet alleen om het voorkomen van incidenten, maar ook om het tijdig herkennen van dreigingen, snel kunnen reageren en het herstellen van systemen en processen wanneer dat nodig is.

Het incident bij ASOS is daarmee een goede aanleiding om kritisch naar je eigen digitale omgeving te kijken. Welke accounts en externe partijen hebben toegang? Wordt afwijkend gedrag tijdig opgemerkt? En is duidelijk wat er moet gebeuren wanneer er daadwerkelijk iets misgaat?

Bronnen

• ASOS – Officiële informatie over de ongeautoriseerde pushmelding en het cyberincident

• The Guardian – Asos says customers' names, contact details and search histories hacked

• BleepingComputer – ASOS links data breach to social engineering attack, credential theft

• The Guardian – Asos warns customer data may be compromised after unauthorised app access