ASOS ہیک میں کیا ہوا؟

6 اکتوبر 2026 کو برطانوی فیشن ریٹیلر ASOS کی ایپ کے صارفین کو اپنے فون پر "ASOS HACKED" کے عنوان سے ایک نوٹیفکیشن موصول ہوا، جو کمپنی کے ڈیٹا پروٹیکشن آفیسر اور آئی ٹی ٹیم کے نام تھا: "ہم نے Snowflake انسٹینس پر مکمل قبضہ کر لیا ہے۔ ہم سے رابطہ کرو، ورنہ ہم اسے لیک کر دیں گے۔" اس میں ایک Telegram چینل کا لنک تھا جسے خود کو Xuanye Group کہنے والا ایک گروہ چلاتا ہے۔ ASOS نے تصدیق کی کہ یہ نوٹیفکیشن غیر مجاز تھا اور کہا کہ نام اور رابطے کی تفصیلات سمیت بنیادی ذاتی معلومات تک کسی غیر مجاز فریق کی رسائی ہوئی ہو سکتی ہے، لیکن کمپنی کا خیال نہیں کہ پیمنٹ کارڈ کی معلومات یا اکاؤنٹ کے پاس ورڈ متاثر ہوئے ہیں۔ اگر آپ کا ASOS اکاؤنٹ ہے تو لنک پر ٹیپ نہ کریں، اگر آپ وہی پاس ورڈ کہیں اور بھی استعمال کرتے ہیں تو اسے تبدیل کریں، اور آنے والے دنوں میں ASOS کی طرف سے ہونے کا دعویٰ کرنے والے ہر پیغام کو شک کی نظر سے دیکھیں۔

ASOS نے کس بات کی تصدیق کی ہے، اور کس کی نہیں

کمپنی کے بیان میں تین نکات بیان کیے گئے:

  • ذریعہ: ان تھرڈ پارٹی پلیٹ فارمز سے متعلق غیر مجاز سرگرمی جنہیں ASOS صارفین سے رابطے کے لیے استعمال کرتی ہے۔ کمپنی نے فوری طور پر اپنے نوٹیفکیشن پلیٹ فارمز تک رسائی محدود کر دی اور وہ ماہر مشیروں اور متعلقہ حکام کے ساتھ مل کر کام کر رہی ہے۔
  • خطرے میں موجود ڈیٹا: کمپنی کے موجودہ جائزے کے مطابق نام اور رابطے کی تفصیلات، لیکن پیمنٹ کارڈ کی معلومات یا پاس ورڈ نہیں۔
  • سروس: ویب سائٹ اور ایپ معمول کے مطابق کام کر رہی ہیں۔ ASOS نے ای میل کے ذریعے صارفین سے معذرت کی اور ان سے کہا کہ وہ نوٹیفکیشن کو نظر انداز کریں اور لنک پر کلک نہ کریں۔

کیا نہیں بتایا گیا: کتنے لوگوں کو یہ نوٹیفکیشن ملا، کتنے ریکارڈ لیے گئے ہو سکتے ہیں، اور اسے بھیجنے کے لیے کون سا پلیٹ فارم استعمال ہوا۔ ڈیٹا کو محفوظ کرنے اور اس کا تجزیہ کرنے والے کلاؤڈ پلیٹ فارم Snowflake نے کہا کہ اس کی تحقیقات میں اس کے اپنے پلیٹ فارم میں کوئی نقب نہیں ملی۔ سیکیورٹی کمپنی Sophos نے کہا کہ اس گروہ کا ذکر اس سے پہلے کبھی ہیکرز کے فورمز یا دوسرے Telegram چینلز پر نہیں ہوا تھا۔ برطانیہ کا نیشنل سائبر سیکیورٹی سینٹر (NCSC) ASOS کی مدد کر رہا ہے۔

مالی پہلو سے دیکھا جائے تو لندن اسٹاک ایکسچینج میں کاروبار کے دوران ASOS کے حصص 14 فیصد سے زیادہ گرے اور 9.56 فیصد کمی کے ساتھ بند ہوئے۔ کمپنی نے کہا کہ اس کے پاس سائبر انشورنس ہے جس میں کاروبار کے تسلسل کا تحفظ شامل ہے، اور کاروبار پر کسی بھی اثر کا اندازہ لگانا ابھی قبل از وقت ہے۔ Google Trends پر سعودی عرب کی ٹرینڈنگ تلاشوں میں "asos hacked" کی تلاشیں بھی نظر آئیں، اس لیے اس کا اثر یہاں کے صارفین پر بھی پڑتا ہے۔

اگر آپ کا ASOS اکاؤنٹ ہے تو اب کیا کریں

  • نوٹیفکیشن کے لنک پر ٹیپ نہ کریں اور چینل سے رابطہ نہ کریں۔ یہ ASOS کا اپنا مشورہ ہے۔
  • اپنا پاس ورڈ تبدیل کریں، ASOS پر بھی اور ہر اس دوسری سائٹ پر بھی جہاں آپ وہی پاس ورڈ استعمال کرتے ہیں۔
  • ٹو اسٹیپ ویری فکیشن آن کریں، اپنی ای میل اور بینکنگ ایپس کے لیے۔ برطانیہ کا NCSC اسے آن لائن اکاؤنٹس کو محفوظ رکھنے کے سب سے مؤثر طریقوں میں سے ایک قرار دیتا ہے۔
  • اپنے بینک اسٹیٹمنٹ پر نظر رکھیں تاکہ کوئی بھی غیر معمولی چیز سامنے آ جائے۔
  • فشنگ کی توقع رکھیں۔ ایک نام، فون نمبر اور ای میل کسی دھوکے باز کے لیے "رقم کی واپسی" یا "پاس ورڈ ری سیٹ" کے بارے میں قائل کرنے والا پیغام لکھنے کے لیے کافی ہیں۔ ASOS پر ہمیشہ براہ راست اس کی ویب سائٹ یا ایپ کے ذریعے جائیں، کسی پیغام میں ملنے والے لنک کے ذریعے کبھی نہیں۔

نوٹیفکیشن ملنے کا مطلب یہ نہیں کہ آپ کا فون ہیک ہو گیا ہے۔ یہ کمپنی کے سسٹمز سے بھیجا گیا تھا، آپ کے آلے سے نہیں۔

اسٹورز کے لیے پہلا سبق: آپ کا نوٹیفکیشن چینل ہر صارف تک پہنچتا ہے

اس واقعے کا سب سے خطرناک پہلو صرف ڈیٹا نہیں ہے۔ حملہ آوروں نے اسٹور کے اپنے نوٹیفکیشن پلیٹ فارم کو استعمال کر کے اپنی دھمکی ہر صارف کی اسکرین تک پہنچا دی، اور چند ہی گھنٹوں میں کمپنی پر دباؤ کو ایک عوامی بحران میں بدل دیا۔ سیکیورٹی ماہرین نے نشاندہی کی کہ ایپ کے صارفین کو پش نوٹیفکیشن بھیجنے کے لیے نوٹیفکیشن سسٹم تک رسائی درکار ہوتی ہے، جو اس ڈیٹا پلیٹ فارم سے الگ ہے جس تک پہنچنے کا دعویٰ حملہ آور کر رہے ہیں۔ اس کا مطلب ہے کہ صارفین سے رابطے کے آپ کے پلیٹ فارمز، ایپ نوٹیفکیشنز سے لے کر SMS، ای میل اور WhatsApp تک، کو اتنے ہی تحفظ کی ضرورت ہے جتنی آپ کے ڈیٹا بیس کو:

  • بھیجنے کی صلاحیت رکھنے والے ہر اکاؤنٹ پر لازمی ٹو اسٹیپ ویری فکیشن، جس میں ایجنسیوں اور بیرونی مارکیٹرز کے اکاؤنٹس بھی شامل ہیں۔
  • "تمام صارفین کو بھیجیں" کی ایک الگ اجازت جو بہت کم لوگوں کے پاس ہو، اور مثالی طور پر جس کے لیے کسی دوسرے شخص کی منظوری لازمی ہو۔
  • ان پلیٹ فارمز کی API کیز کوڈ میں نہیں بلکہ سیکرٹس والٹ میں رکھی جائیں، باقاعدگی سے تبدیل کی جائیں، اور کسی ملازم کے جاتے ہی یا کسی ایجنسی کا معاہدہ ختم ہوتے ہی منسوخ کر دی جائیں۔
  • معمول کے شیڈول سے ہٹ کر بڑی تعداد میں بھیجے جانے والے ہر پیغام پر فوری الرٹ۔

دوسرا سبق: ایک چوری شدہ پاس ورڈ سے پورا ڈیٹا ویئر ہاؤس گر سکتا ہے

حملہ آور ASOS کے سسٹمز میں کیسے داخل ہوئے، اس بارے میں ابھی کوئی تصدیق شدہ تفصیلات نہیں ہیں۔ لیکن ایک معروف مثال موجود ہے: 2024 میں Mandiant نے Snowflake کے صارفین کے اکاؤنٹس کے خلاف ایک مہم کا سراغ لگایا، اور Mandiant اور Snowflake نے تقریباً 165 ممکنہ طور پر متاثرہ اداروں کو مطلع کیا۔ وجہ پلیٹ فارم کی کوئی خامی نہیں تھی۔ وجہ وہ اسناد تھیں جو انفو اسٹیلر میلویئر نے ایسے سسٹمز سے چرائی تھیں جو Snowflake کی ملکیت نہیں تھے، ان میں سے کچھ 2020 تک پرانی تھیں، اور انہیں ملٹی فیکٹر تصدیق کے بغیر والے اکاؤنٹس پر استعمال کیا گیا۔ بچاؤ کے اقدامات پیچیدہ نہیں ہیں:

  • اپنے ڈیٹا پلیٹ فارم کے ہر صارف کے لیے ٹو اسٹیپ ویری فکیشن، اور سسٹم اکاؤنٹس کے لیے پاس ورڈ کے بجائے کیز۔
  • رسائی صرف آپ کی کمپنی کے معلوم نیٹ ورک پتوں تک محدود۔
  • اپنے اینالیٹکس ویئر ہاؤس میں اتنا ہی ڈیٹا کاپی کریں جتنا تجزیے کے لیے ضروری ہو۔ فون نمبرز اور ای میلز کو ماسک کیا جا سکتا ہے یا ٹوکنز سے بدلا جا سکتا ہے۔
  • بڑی ایکسپورٹس اور غیر معمولی کوئریز پر الرٹس۔

تیسرا سبق: واقعے سے پہلے ہی واقعاتی ردعمل کا منصوبہ لکھ لیں

ASOS نے اسی دن بیان جاری کیا، ای میل کے ذریعے صارفین سے معذرت کی اور اپنی انشورنس کی صورتحال ظاہر کی۔ یہ سب بحران کے دن فی البدیہہ نہیں کیا جاتا۔ سعودی عرب میں سعودی ڈیٹا اور مصنوعی ذہانت اتھارٹی (SDAIA) کی ذاتی ڈیٹا کی خلاف ورزی کے واقعات سے متعلق طریقہ کار کی رہنمائی کے مطابق، کنٹرولر کو ایسے کسی واقعے کا علم ہونے کے 72 گھنٹوں کے اندر مجاز اتھارٹی کو مطلع کرنا ہوتا ہے جو ڈیٹا یا ان افراد کو نقصان پہنچا سکتا ہو جن کا وہ ڈیٹا ہے، اور اگر متاثرہ ڈیٹا کے مالکان کو نقصان پہنچے تو انہیں بلا تاخیر مطلع کرنا ہوتا ہے۔ پہلے سے تیاری کریں: فیصلہ کون کرے گا، کمپنی کی طرف سے کون بات کرے گا، صارفین کو بھیجے جانے والے پیغام کا متن کیا ہوگا، اور چند منٹوں میں بھیجنے کے ہر چینل کو کیسے بند کیا جائے گا۔ تفصیلات کے لیے ذاتی ڈیٹا کے تحفظ کے قانون (PDPL) پر ہماری گائیڈ پڑھیں۔

Origami میں ہم اسے کیسے بناتے ہیں

جب ہم اپنے کلائنٹس کے لیے کوئی اسٹور یا ایپ بناتے ہیں تو ہم نوٹیفکیشن اور میسجنگ پلیٹ فارمز کو کوئی ضمنی مارکیٹنگ ٹول نہیں بلکہ اٹیک سرفیس کا حصہ سمجھتے ہیں: بھیجنے کی اجازتوں پر سخت کنٹرول، کوڈ سے باہر رکھی گئی کیز، ہر بھیجے گئے پیغام کا لاگ، اور تمام چینلز کے لیے ایک ہی ہنگامی بندش کا سوئچ۔ اگر آپ کا اسٹور پہلے سے لائیو ہے تو ہم ایک مختصر جائزے سے آغاز کرتے ہیں: آج آپ کے صارفین کو کون پیغام بھیج سکتا ہے، ان کا ڈیٹا کہاں کہاں کاپی ہوتا ہے، اور کیا ہر اکاؤنٹ پر ٹو اسٹیپ ویری فکیشن موجود ہے۔ سوالات سادہ ہیں، لیکن انہی کے جوابات یہ طے کرتے ہیں کہ کوئی واقعہ خاموشی سے قابو میں آ جائے گا یا ایک نوٹیفکیشن ہر صارف کے فون پر پہنچ جائے گا۔ یہ بھی پڑھیں: چھوٹے اور درمیانے کاروباروں کے لیے سائبر سیکیورٹی کی بنیادی باتیں۔

ذرائع