За неделю хакеры атаковали десятки европейских компаний сферы ритейла

Нидерландская Ahold Delhaize 12 октября вырубила часть систем после обнаружения вторжения, британская TFG London 13 октября объявила о расследовании инцидента в ИТ-инфраструктуре брендов Phase Eight, Hobbs и Whistles, а покупатели ASOS 6 октября получили в приложении странное уведомление о взломе компании. H&M проверяет сообщения о возможной компрометации, но признаков взлома пока не нашла. Подтверждений, что все эти случаи связаны между собой, нет.

Ahold Delhaize, которая рулит супермаркетами в Европе и США, 12 октября дёрнула рубильник на части систем из соображений предосторожности, чтобы ограничить ущерб и понять, кто и как залез в сеть. Сбой затронул цифровые сервисы Albert Heijn, Etos и Gall & Gall. К 13 октября компания сообщила следующее:

• онлайн-сервисы и часть операций просели из-за отключения;
• физические магазины продолжали принимать покупателей;
• первые системы вернулись в работу под контролем специалистов;
• следов кражи данных клиентов и сотрудников пока не нашли, но расследование идёт.

Интересно, что физические магазины Ahold Delhaize продолжали работать, пока цифровые сервисы брендов сидели на паузе. Офлайн на этот раз оказался самым живучим каналом.

Каждая отключённая система бьёт по покупателям, сотрудникам и поставщикам, но работать дальше без понимания, как злоумышленники проникли внутрь и остались ли они там, куда рискованнее. Выбор между «неудобно» и «очень неудобно» знаком любому админу. Связь инцидента с остальными случаями октября никто не подтвердил, а совпадение по датам для обвинений слабовато.

TFG London, британское подразделение южноафриканской The Foschini Group, 13 октября сообщила о расследовании киберинцидента. По данным британских СМИ, пострадали ИТ-системы Phase Eight, Hobbs и Whistles, работа онлайн-магазинов и обработка заказов пошатнулись, а офлайн-точки продолжали обслуживать покупателей. Компания заявила, что оснований считать платёжную информацию скомпрометированной не видит. Бренды Inside Story и White Stuff о сопоставимых проблемах не сообщали, а операции TFG в Африке и Австралии не пострадали. Мухаммад Яхья Патель, vCISO и консультант по кибербезопасности в регионе EMEA компании Huntress, оценил, что разделение систем внутри группы могло помочь ограничить последствия.

Проблема одного бренда превращается в проблему всей группы, если у подразделений общие:

• учётные записи;
• сети;
• административные инструменты.

Сегментация защиту от взлома не гарантирует, но помогает удержать локальный факап в границах одного бренда, и TFG, судя по всему, прочувствовала это на себе.

Покупатели ASOS 6 октября получили в приложении странное уведомление о взломе компании со ссылкой на сторонний канал, после чего ритейлер подтвердил несанкционированный доступ к платформам коммуникации с клиентами. В обновлении компания уточнила, что злоумышленник получил доступ к учётке сотрудника, представившись доверенным контактом и выманив данные для входа. С этими реквизитами он залез на сторонние платформы, через которые магазин общается с покупателями. Под удар могли попасть:

• имена клиентов;
• контактные данные;
• часть информации об аккаунтах.

Признаков компрометации паролей и платёжных данных компания не обнаружила.

Отмечается, что взломщикам не пришлось штурмовать ни основной сайт, ни платёжную инфраструктуру. Хватило одного сотрудника, у которого выманили данные для входа.

Россиянам, которые когда-либо заказывали на ASOS, пора врубать режим параноика, потому что утёкшие имена и контакты служат классическим топливом для фишинга, а письмо «от магазина» со ссылкой для входа теперь повод насторожиться.

H&M, по данным The Times, изучала гуляющую по интернету информацию о возможном нарушении и признаков компрометации своей среды пока не обнаружила, поэтому записывать компанию в жертвы рано. Публикации в сети бывают правдой, преувеличением или попыткой хакеров выдать желаемое за действительное, и компании приходится сверять происхождение данных с внутренними логами и выяснять, залез ли кто-то в системы на самом деле.

Единую кампанию с общим организатором пока никто не доказал, но три направления риска для ритейла видны уже сейчас:

• зависимость от цифровых сервисов и сторонних подрядчиков, ведь проблема у внешнего поставщика ломает обслуживание покупателей даже при целой основной платформе;
• уязвимость учётных записей сотрудников, чьи действия внутри инфраструктуры не всегда отличаются от обычной активности;
• цена последствий, куда входят задержанные заказы, отключённые сайты, расходы на расследование, уведомление клиентов и подмоченная репутация.

Российским ритейлерам и маркетплейсам домашка та же самая, ведь многофакторная аутентификация, контроль прав доступа и аудит удалённого доступа от геополитики не зависят, а схема с обманом сотрудника работает на любых серверах и в любой стране.

Эксперты CISOCLUB прокомментировали октябрьскую серию и отметили, что доказанная связь между инцидентами для выводов не нужна, потому что у всех пострадавших сработали одни и те же слабые места. Сторонняя платформа с доступом к клиентской базе превращается в запасной вход, который защищают хуже парадного. Учётка сотрудника остаётся самым дешёвым пропуском внутрь, ведь для обмана хватает убедительного сообщения и отсутствия многофакторной аутентификации, а дорогие эксплойты не нужны.

Сегментация сетей и прав доступа, как показал пример TFG London, помогает удержать проблему в границах одного бренда, но работает лишь при заранее продуманной архитектуре. Отключение отдельных компонентов нужно репетировать заранее, потому что решение дёрнуть рубильник приходится принимать за часы и при неполных данных. Открытая и быстрая коммуникация с клиентами тоже входит в защиту, ведь пауза в информировании оставляет пространство для фишеров.

Ранее сообщалось, что в ночь на 12 октября злоумышленники удалённо вмешались в работу холодильных систем Danfoss в сотнях французских супермаркетов, из-за чего морозильные камеры вместо охлаждения начали нагреваться. По информации BFMTV, в тот же день нидерландская компания Ahold Delhaize подтвердила инцидент в сфере кибербезопасности и отключила часть систем. В Нидерландах и Бельгии сбои затронули распределительные центры, электронные ценники, сайты и мобильные приложения магазинов. При этом доказательств того, что оба происшествия связаны между собой, пока нет.