ASOS हैक में क्या हुआ?

6 अक्टूबर 2026 को ब्रिटिश फैशन रिटेलर ASOS के ऐप उपयोगकर्ताओं को अपने फोन पर "ASOS HACKED" शीर्षक वाला एक नोटिफिकेशन मिला, जो कंपनी के डेटा प्रोटेक्शन ऑफिसर और आईटी टीम को संबोधित था: "हमने Snowflake इंस्टेंस को पूरी तरह से अपने कब्जे में ले लिया है। हमसे बात करो, नहीं तो हम इसे लीक कर देंगे।" इसमें एक Telegram चैनल का लिंक था, जिसे खुद को Xuanye Group कहने वाला एक समूह चलाता है। ASOS ने पुष्टि की कि यह नोटिफिकेशन अनधिकृत था और कहा कि नाम और संपर्क विवरण सहित बुनियादी व्यक्तिगत जानकारी तक किसी अनधिकृत पक्ष की पहुंच हुई हो सकती है, लेकिन कंपनी को नहीं लगता कि पेमेंट कार्ड की जानकारी या अकाउंट पासवर्ड प्रभावित हुए हैं। अगर आपका ASOS अकाउंट है, तो लिंक पर टैप न करें, अगर आप वही पासवर्ड कहीं और भी इस्तेमाल करते हैं तो उसे बदल दें, और आने वाले दिनों में ASOS की ओर से होने का दावा करने वाले हर संदेश को शक की नजर से देखें।

ASOS ने किन बातों की पुष्टि की है, और किनकी नहीं

कंपनी के बयान में तीन बातें बताई गईं:

  • स्रोत: उन थर्ड-पार्टी प्लेटफॉर्म से जुड़ी अनधिकृत गतिविधि, जिनका इस्तेमाल ASOS ग्राहकों से संवाद के लिए करती है। कंपनी ने तुरंत अपने नोटिफिकेशन प्लेटफॉर्म तक पहुंच सीमित कर दी और वह विशेषज्ञ सलाहकारों और संबंधित अधिकारियों के साथ मिलकर काम कर रही है।
  • जोखिम में डेटा: उसके मौजूदा आकलन के आधार पर नाम और संपर्क विवरण, लेकिन पेमेंट कार्ड की जानकारी या पासवर्ड नहीं।
  • सेवा: वेबसाइट और ऐप सामान्य रूप से काम कर रहे हैं। ASOS ने ईमेल के जरिए ग्राहकों से माफी मांगी और उनसे नोटिफिकेशन को नजरअंदाज करने और लिंक पर क्लिक न करने को कहा।

क्या नहीं बताया गया है: कितने लोगों को यह नोटिफिकेशन मिला, कितने रिकॉर्ड लिए गए हो सकते हैं, और इसे भेजने के लिए किस प्लेटफॉर्म का इस्तेमाल हुआ। डेटा स्टोर करने और उसका विश्लेषण करने वाले क्लाउड प्लेटफॉर्म Snowflake ने कहा कि उसकी जांच में उसके अपने प्लेटफॉर्म में कोई सेंध नहीं मिली। सुरक्षा कंपनी Sophos ने कहा कि इस समूह का जिक्र पहले कभी हैकर फोरम या दूसरे Telegram चैनलों पर नहीं हुआ था। ब्रिटेन का नेशनल साइबर सिक्योरिटी सेंटर (NCSC) ASOS की मदद कर रहा है।

वित्तीय मोर्चे पर, लंदन स्टॉक एक्सचेंज में कारोबार के दौरान ASOS के शेयर 14% से ज्यादा गिरे और 9.56% की गिरावट के साथ बंद हुए। कंपनी ने कहा कि उसके पास साइबर बीमा है जिसमें बिज़नेस कंटिन्यूटी कवर शामिल है, और कारोबार पर किसी भी असर का आकलन करना अभी जल्दबाजी होगी। Google Trends पर सऊदी अरब के ट्रेंडिंग सर्च में "asos hacked" की खोजें भी दिखीं, इसलिए इसका असर यहां के उपयोगकर्ताओं पर भी पड़ता है।

अगर आपका ASOS अकाउंट है तो अब क्या करें

  • नोटिफिकेशन के लिंक पर टैप न करें और चैनल से संपर्क न करें। यह ASOS की अपनी सलाह है।
  • अपना पासवर्ड बदलें, ASOS पर भी और हर उस दूसरी साइट पर भी जहां आप वही पासवर्ड इस्तेमाल करते हैं।
  • टू-स्टेप वेरिफिकेशन चालू करें, अपने ईमेल और बैंकिंग ऐप्स के लिए। ब्रिटेन का NCSC इसे ऑनलाइन अकाउंट सुरक्षित रखने के सबसे असरदार तरीकों में से एक मानता है।
  • अपने बैंक स्टेटमेंट पर नजर रखें ताकि कुछ भी असामान्य दिखे तो पता चल जाए।
  • फिशिंग की उम्मीद रखें। एक नाम, फोन नंबर और ईमेल किसी जालसाज के लिए "रिफंड" या "पासवर्ड रीसेट" के बारे में भरोसेमंद लगने वाला संदेश लिखने के लिए काफी हैं। ASOS पर हमेशा सीधे उसकी वेबसाइट या ऐप से जाएं, किसी संदेश में मिले लिंक से कभी नहीं।

नोटिफिकेशन मिलने का मतलब यह नहीं है कि आपका फोन हैक हो गया। इसे कंपनी के सिस्टम से भेजा गया था, आपके डिवाइस से नहीं।

स्टोर के लिए पहला सबक: आपका नोटिफिकेशन चैनल हर ग्राहक तक पहुंचता है

इस घटना का सबसे खतरनाक हिस्सा सिर्फ डेटा नहीं है। हमलावरों ने स्टोर के अपने ही नोटिफिकेशन प्लेटफॉर्म का इस्तेमाल करके अपनी धमकी हर ग्राहक की स्क्रीन पर पहुंचा दी, और कुछ ही घंटों में कंपनी पर दबाव को एक सार्वजनिक संकट में बदल दिया। सुरक्षा विशेषज्ञों ने बताया कि ऐप उपयोगकर्ताओं को पुश नोटिफिकेशन भेजने के लिए नोटिफिकेशन सिस्टम तक पहुंच चाहिए, जो उस डेटा प्लेटफॉर्म से अलग है जिस तक पहुंचने का दावा हमलावर कर रहे हैं। इसका मतलब है कि ग्राहकों से संवाद करने वाले आपके प्लेटफॉर्म, ऐप नोटिफिकेशन से लेकर SMS, ईमेल और WhatsApp तक, को उतनी ही सुरक्षा चाहिए जितनी आपके डेटाबेस को:

  • भेजने की क्षमता वाले हर अकाउंट पर अनिवार्य टू-स्टेप वेरिफिकेशन, जिसमें एजेंसी और बाहरी मार्केटर्स के अकाउंट भी शामिल हैं।
  • "सभी ग्राहकों को भेजें" की एक अलग अनुमति, जो बहुत कम लोगों के पास हो, और आदर्श रूप से जिसके लिए किसी दूसरे व्यक्ति की मंजूरी जरूरी हो।
  • इन प्लेटफॉर्म की API कुंजियां कोड में नहीं बल्कि सीक्रेट्स वॉल्ट में रखी जाएं, नियमित रूप से बदली जाएं, और किसी कर्मचारी के जाते ही या एजेंसी का अनुबंध खत्म होते ही रद्द कर दी जाएं।
  • सामान्य शेड्यूल से बाहर किसी भी बल्क सेंड पर तुरंत अलर्ट।

दूसरा सबक: एक चोरी हुए पासवर्ड से पूरा डेटा वेयरहाउस गिर सकता है

हमलावर ASOS के सिस्टम में कैसे घुसे, इसके बारे में अभी कोई पुष्ट जानकारी नहीं है। लेकिन एक जानी-मानी मिसाल मौजूद है: 2024 में Mandiant ने Snowflake ग्राहक अकाउंट के खिलाफ एक अभियान को ट्रैक किया था, और Mandiant व Snowflake ने लगभग 165 संभावित रूप से प्रभावित संगठनों को सूचित किया था। वजह प्लेटफॉर्म की कोई खामी नहीं थी। वजह वे क्रेडेंशियल थे जो इन्फोस्टीलर मालवेयर ने ऐसे सिस्टम से चुराए थे जो Snowflake के नहीं थे, जिनमें से कुछ 2020 तक पुराने थे, और जिनका इस्तेमाल बिना मल्टी-फैक्टर ऑथेंटिकेशन वाले अकाउंट पर किया गया। बचाव के उपाय जटिल नहीं हैं:

  • अपने डेटा प्लेटफॉर्म के हर उपयोगकर्ता के लिए टू-स्टेप वेरिफिकेशन, और सिस्टम अकाउंट के लिए पासवर्ड के बजाय कुंजियां।
  • पहुंच केवल आपकी कंपनी के ज्ञात नेटवर्क पतों तक सीमित।
  • अपने एनालिटिक्स वेयरहाउस में उतना ही डेटा कॉपी करें जितना विश्लेषण के लिए जरूरी है। फोन नंबर और ईमेल को मास्क किया जा सकता है या टोकन से बदला जा सकता है।
  • बड़े एक्सपोर्ट और असामान्य क्वेरी पर अलर्ट।

तीसरा सबक: घटना से पहले ही घटना-प्रतिक्रिया योजना लिख लें

ASOS ने उसी दिन बयान जारी किया, ईमेल के जरिए ग्राहकों से माफी मांगी और अपने बीमा की स्थिति सार्वजनिक की। यह सब संकट के दिन अचानक नहीं किया जा सकता। सऊदी अरब में, सऊदी डेटा और आर्टिफिशियल इंटेलिजेंस प्राधिकरण (SDAIA) की व्यक्तिगत डेटा उल्लंघन घटनाओं पर प्रक्रिया गाइड के अनुसार, नियंत्रक को ऐसी किसी घटना की जानकारी मिलने के 72 घंटे के भीतर सक्षम प्राधिकरण को सूचित करना होता है जो डेटा या उन लोगों को नुकसान पहुंचा सकती है जिनका वह डेटा है, और अगर प्रभावित डेटा विषयों को नुकसान होता है तो उन्हें बिना देरी के सूचित करना होता है। पहले से तैयारी करें: फैसला कौन करेगा, कंपनी की ओर से कौन बोलेगा, ग्राहकों को भेजे जाने वाले संदेश का पाठ क्या होगा, और कुछ ही मिनटों में भेजने के हर चैनल को कैसे बंद किया जाएगा। विस्तार से जानने के लिए व्यक्तिगत डेटा संरक्षण कानून (PDPL) पर हमारी गाइड पढ़ें।

Origami में हम इसे कैसे बनाते हैं

जब हम अपने क्लाइंट्स के लिए कोई स्टोर या ऐप बनाते हैं, तो हम नोटिफिकेशन और मैसेजिंग प्लेटफॉर्म को एक साइड मार्केटिंग टूल नहीं, बल्कि अटैक सरफेस का हिस्सा मानते हैं: भेजने की अनुमतियों पर कड़ा नियंत्रण, कोड से बाहर रखी गई कुंजियां, हर भेजे गए संदेश का लॉग, और सभी चैनलों के लिए एक ही किल स्विच। अगर आपका स्टोर पहले से लाइव है, तो हम एक छोटी समीक्षा से शुरुआत करते हैं: आज आपके ग्राहकों को कौन संदेश भेज सकता है, उनका डेटा कहां-कहां कॉपी होता है, और क्या हर अकाउंट पर टू-स्टेप वेरिफिकेशन है। सवाल आसान हैं, लेकिन इन्हीं के जवाब तय करते हैं कि कोई घटना चुपचाप रोक ली जाएगी या एक नोटिफिकेशन हर ग्राहक के फोन पर पहुंच जाएगा। यह भी पढ़ें: छोटे और मध्यम व्यवसायों के लिए साइबर सुरक्षा की बुनियादी बातें।

स्रोत