Kybernetický útok na ASOS odhalil rizika zabezpečení identit v cloudových SaaS aplikacích

Britský maloobchodník ASOS se stal terčem kybernetického útoku, který ukázal, jak zranitelná mohou být firemní prostředí postavená na cloudových aplikacích typu SaaS. Případ znovu otevřel debatu o bezpečnosti zákaznických identit a o tom, jak snadno se může jediný kompromitovaný účet proměnit v bránu k rozsáhlejšímu průniku do firemní sítě.

Podle dostupných informací útočníci nezaměřili svou pozornost na tradiční perimetr firemní infrastruktury, ale na identitu jako takovou. V době, kdy firmy čím dál více spoléhají na externí cloudové služby pro správu zákazníků, fakturaci, marketing nebo analytiku dat, se právě přístupové údaje k těmto službám staly novým cílem útočníků. Kompromitace jediné identity tak může vést k hlubší penetraci firemní sítě, protože mnoho SaaS platforem je propojeno s dalšími interními systémy a obsahuje citlivá data nebo přístupová oprávnění, která lze zneužít k postupu dál.

Případ ASOS slouží jako varovný příklad pro celé odvětví maloobchodu, které v posledních letech prochází rychlou digitalizací. Firmy migrují stále větší množství procesů do cloudu, aby zefektivnily provoz a snížily náklady na vlastní infrastrukturu. Tento trend s sebou ale přináší i nové bezpečnostní riziko – roztříštěnost identit napříč desítkami či stovkami různých aplikací, které firma využívá. Každá z nich představuje potenciální vstupní bod pro útočníka, pokud není dostatečně zabezpečena.

Bezpečnostní experti upozorňují, že klasické přístupy k ochraně firemní sítě, založené na obraně obvodu sítě pomocí firewallů a VPN, již v době masivního využívání cloudových služeb nestačí. Útočníci se totiž nemusí probojovávat přes perimetr, stačí jim získat přihlašovací údaje zaměstnance nebo zákazníka k jedné z využívaných SaaS aplikací. Odtud se pak mohou pohybovat laterálně, tedy do stran, k dalším propojeným systémům a datům.

Případ ASOS tak ilustruje širší problém, kterému čelí mnoho velkých firem napříč sektory – nedostatečný přehled o tom, jaké identity mají k jakým systémům přístup a jak jsou tyto přístupy chráněny. Bez centralizovaného řízení identit a důsledného monitoringu neobvyklého chování se podobné útoky mohou snadno opakovat i u jiných společností.

Odborníci na kybernetickou bezpečnost doporučují firmám zavést vícefaktorové ověřování u všech kritických služeb, pravidelně revidovat přístupová oprávnění a minimalizovat počet osob i systémů, které mají přístup k citlivým datům. Důležitá je také segmentace sítě, aby případný průnik do jedné aplikace neznamenal automatický přístup ke zbytku firemní infrastruktury. Zásadní roli hraje rovněž školení zaměstnanců, protože mnoho útoků stále začíná phishingem nebo jiným typem sociálního inženýrství zaměřeného na získání přihlašovacích údajů.

Incident u ASOS se odehrál ve Velké Británii, kde maloobchodník patří mezi významné hráče na trhu s módou prodávanou online. Firma dlouhodobě spoléhá na digitální kanály prodeje a související infrastrukturu, což z ní činí typický příklad společnosti závislé na robustním zabezpečení cloudových systémů. Přesné datum útoku ani jeho rozsah nebyly zveřejněny, podstatné je však poučení, které z případu vyplývá pro celé odvětví.

Zranitelnost zákaznických SaaS řešení se v posledních letech stala jedním z nejdiskutovanějších témat v oblasti kybernetické bezpečnosti. S rostoucím počtem cloudových nástrojů, které firmy využívají pro komunikaci se zákazníky, roste i plocha, kterou musí bezpečnostní týmy pokrýt. Analytici doporučují, aby organizace přistupovaly k řízení identit jako k jedné z nejvyšších priorit své bezpečnostní strategie, protože právě identita se v moderním digitálním prostředí stává novým bezpečnostním perimetrem.

Případ ASOS tak může sloužit jako podnět pro ostatní maloobchodníky i firmy z jiných odvětví k přehodnocení vlastních bezpečnostních postupů, zejména pokud jde o správu přístupů k externím cloudovým službám a ochranu identit zaměstnanců i zákazníků před zneužitím.