IKEA slachtoffer van cyberaanval

In de e-mails is te lezen dat de interne mailboxen van Inter IKEA worden gebruikt voor phishing. IKEA zegt dat andere IKEA-organisaties, leveranciers en zakenpartners ook door de aanval getroffen zijn en dat er via hen meer kwetsbare mails worden verstuurd naar medewerkers binnen Inter IKEA.

Inter IKEA is de bedrijvengroep die leveranciers en franchisehouders van IKEA met elkaar verbindt. IKEA vermoedt dat hun Microsoft Exchange-servers waarschijnlijk aangetast zijn.

De interne mails worden gebruikt voor het verspreiden van malware, schrijft IKEA. Het bedrijf benadrukt aan zijn medewerkers dat de mails niet alleen worden verstuurd via externen, maar ook via legitieme interne mailadressen van collega’s. De mails worden verstuurd als reply-chain phishing. Dat betekent dat de mails worden verstuurd als reactie op lopende gesprekken, met daarin kwetsbare links waarmee meer medewerkers ook kunnen worden gephisht. De mails zijn afkomstig door eerder getroffen collega’s, zodat het minder duidelijk is dat het om phishing gaat, omdat de mails van bekenden komen.

De mails zijn voorzien van een link met aan het einde zeven cijfers, waarschuwt de IT-afdeling van IKEA. Daar zijn de links op dit moment aan te herkennen. De IT-afdeling roept medewerkers op om de mails niet te openen, niet op de links te klikken en onmiddellijk contact op te nemen met IT.

Volgens IKEA gaat het om een nog lopende cyberaanval, waarvan de schaal nog niet bekend is. Het bedrijf gebruikt nu een e-mailfilter die de mails moet tegenhouden. Medewerkers kunnen mails tot nader order niet uit quarantaine halen, schrijft IKEA aan medewerkers.

Volgens BleepingComputer wordt via de links een zipbestand geopend, dat op zijn beurt een kwaadaardig Excel-bestand opent. Hierbij worden medewerkers aangemoedigd om op een knop te klikken, waarmee het lijkt dat zij het document kunnen bewerken. In werkelijkheid wordt een malware-payload gedownload en uitgevoerd, vergelijkbaar met hoe het Emotet-botnet malware verspreidt. Dat botnet dook onlangs weer op nadat onder meer de Nederlandse politie deze in januari onschadelijk had gemaakt.

In een reactie aan Dutchitchannel zegt een IKEA-woordvoerder dat het gaat om een phishingaanval op onderdelen van IKEA. Er zijn volgens haar geen aanwijzingen dat er klantgegevens buitgemaakt zijn bij de aanval.

Eerder deze maand werd elektronicawinkel Mediamarkt slachtoffer van een cyberaanval, meer bepaald een ransomware-aanval.