Aplikasi Diretas, Data Pelanggan ASOS Bocor Melalui Notifikasi Liar

Raksasa ritel fesyen asal Inggris, ASOS, mengonfirmasi terjadinya kasus kebocoran data ASOS yang berdampak pada informasi pribadi pelanggan mereka.

Insiden ini terungkap setelah kelompok peretas menyusup dan memanfaatkan aplikasi resmi perusahaan untuk mengirimkan notifikasi liar langsung ke ponsel pengguna. Modus peretasan tidak biasa ini memaksa manajemen untuk segera melaporkan situasi darurat tersebut kepada otoritas bursa.

Dalam laporan resminya ke London Stock Exchange, manajemen ASOS menjelaskan bahwa pelaku kejahatan siber berhasil menembus platform pihak ketiga yang digunakan untuk mengirim pesan kepada konsumen. Dari peretasan tersebut, nama lengkap dan informasi kontak pelanggan dipastikan telah jatuh ke tangan pihak yang tidak berwenang. Berdasarkan laporan BBC News, data yang dicuri mencakup alamat rumah, nomor telepon, alamat surel, hingga catatan profil belanja seperti riwayat pencarian produk di situs web mereka.

Pengguna aplikasi dikejutkan oleh munculnya pesan singkat yang menyatakan bahwa sistem keamanan perusahaan telah sepenuhnya dikuasai oleh peretas.

Pesan itu ditujukan kepada petugas perlindungan data dan tim teknologi informasi ASOS, dengan ancaman akan membocorkan seluruh data jika perusahaan menolak bernegosiasi. Kelompok peretas mengklaim telah mengakses basis data pelanggan yang disimpan di platform Snowflake, sebuah perusahaan penyedia layanan komputasi awan untuk analisis data skala besar yang digunakan oleh banyak korporasi global.

Laporan dari media teknologi Bleeping Computer menyebutkan bahwa pelaku masuk ke sistem Snowflake milik ASOS dengan cara menyamar sebagai kontak tepercaya demi mendapatkan kredensial masuk. Di sisi lain, pihak Snowflake menegaskan bahwa infrastruktur utama mereka tidak mengalami kebocoran dan insiden ini murni akibat kelalaian dalam pengelolaan akses pengguna. Hingga kini, belum ada kejelasan apakah akun Snowflake milik ASOS tersebut telah dilindungi dengan sistem verifikasi dua langkah atau Multi-Factor Authentication.

Kelompok peretas yang menamakan diri Xuanye Group ini belum mengungkap seberapa besar volume data yang berhasil mereka jarah dari peritel yang memiliki sekitar 17 juta pelanggan aktif tersebut.

Kasus yang menimpa ASOS menunjukkan kerentanan rantai pasok digital yang kini juga menjadi ancaman serius bagi perusahaan-perusahaan di Indonesia. Penggunaan vendor pihak ketiga untuk layanan pemasaran atau komunikasi sering kali menjadi pintu masuk yang paling rapuh bagi serangan siber karena standar keamanannya tidak selalu setara dengan sistem utama perusahaan.

Serangan dengan pola serupa sebelumnya juga menimpa perusahaan teknologi finansial Betterment pada awal tahun ini. Peretas memanfaatkan akses platform pemasaran pihak ketiga untuk mengirimkan promosi penipuan mata uang kripto kepada para nasabah. Pada insiden Betterment tersebut, data sensitif berupa nama, alamat surel, dan nomor telepon konsumen juga berhasil dieksploitasi oleh pelaku kejahatan.

Para pakar keamanan siber mengingatkan bahwa proteksi akun admin pada platform pihak ketiga kini sama mendesaknya dengan melindungi peladen internal perusahaan. Tanpa penerapan protokol keamanan yang ketat seperti verifikasi dua langkah, celah sekecil apa pun pada ekosistem digital pihak ketiga akan selalu membayangi kredibilitas bisnis modern.