ASOS bestätigt Datenverletzung, nachdem Hacker die App hijackten und einen "ASOS HACKED"-Alert versendeten

ASOS, der an der Londoner Börse notierte Online-Modehändler, hat einen Cybersicherheitsvorfall bestätigt, bei dem Angreifer Zugriff auf eine mit seiner mobilen App verknüpfte Drittanbieter-Plattform erhielten und persönliche Informationen von Kunden erhielten. Das Unternehmen gibt an, dass Zahlungskartendaten und Kontokennwörter nicht kompromittiert wurden.

Wie der Datenverlust begann

Um etwa 10:00 Uhr BST (05:00 Uhr ET) am 6. Oktober 2026 erhielten ASOS-App-Nutzer eine unbefugte Push-Benachrichtigung mit der Schlagzeile "ASOS HACKED", wie BleepingComputer und Help Net Security berichten. ASOS veröffentlichte schnell eine In-App-Benachrichtigung, die Kunden aufforderte, die Warnung zu ignorieren und auf keine Links darin zu klicken.

Nach Angaben von Infosecurity Magazine und TechCrunch sagten ASOS, dass der Eindringversuch begann, als ein Angreifer einen vertrauten Kontakt imitierte, um einen Mitarbeiter zum Herausgeben von Login-Daten zu verleiten. Diese Anmeldedaten wurden dann verwendet, um auf Drittanbieter-Plattformen zuzugreifen, auf die ASOS bei der Kommunikation mit Kunden angewiesen ist, einschließlich des Systems zum Versenden von App-Push-Benachrichtigungen.

Laut Infosecurity Magazine deutete der Malware-Forscher Pieter Arntz an, dass Simon AI, eine von ASOS verwendete Marketingplattform, die auf Snowflakes Cortex AI aufgebaut ist, möglicherweise indirekt mit dem Vorfall verknüpft ist, obwohl dies nicht bestätigt wurde als der Weg, auf dem Angreifer Zugriff erhielten. Snowflake gab an, dass das Problem nicht auf eine Sicherheitslücke oder Fehlkonfiguration auf seiner eigenen Plattform zurückzuführen ist, und dass seine anderen Kunden keine Maßnahmen ergreifen müssen, berichtete Infosecurity Magazine.

Welche Daten wurden preisgegeben

ASOS sagte in seinen ersten Aussagen, dass die offengelegten Informationen auf grundlegende Kontaktdaten beschränkt waren. Nach Angaben von SecurityWeek bestätigte ASOS die Verletzung in einer am 7. Oktober 2026 bei der Londoner Börse eingereichten Erklärung.

Die Hacker gaben Reportern später eine Stichprobe der Daten, die sie nach eigenen Angaben besitzen. Laut Infosecurity Magazine und Malwarebytes enthielt diese Stichprobe Kundennamen, Privatanschriften, Telefonnummern, E-Mail-Adressen, Kundennummern, Geburtsdaten, Kontoerstellungsdaten und Aufzeichnungen von Suchen, die Kunden auf der ASOS-Website durchgeführt haben, mit Beispielen wie "reclaimed vintage" und "ASOS petite".

Wer steckt hinter dem Angriff

Eine Gruppe, die sich als Xuanye Group identifiziert, übernahm die Verantwortung und operiert über einen neu erstellten Telegram-Kanal, wie SecurityWeek und TechCrunch berichten. In einer Nachricht an den Datenschutzbeauftragten und das IT-Team von ASOS behauptete die Gruppe, die Snowflake-Instanz des Unternehmens kompromittiert zu haben, und warnte: "Arbeitet mit uns zusammen, oder wir werden es veröffentlichen", wie SecurityWeek und TechCrunch berichten.

Infosecurity Magazine berichtete, dass Forscher das mit der Gruppe verbundene Telegram-Konto zurückverfolgten, das zuvor Namen wie "JohnCZ" und "Moon Transfers" in Verbindung mit dem Handel mit Online-Spieleartikeln verwendet hatte, obwohl diese frühere Aktivität nicht formell mit dem ASOS-Eindringversuch verbunden wurde.

Umfang und was ungeklärt bleibt

ASOS hat ungefähr 17 Millionen Kunden, berichtete TechCrunch, aber das Unternehmen hat nicht offengelegt, wie viele einzelne Konten durch den Datenverlust betroffen waren. Nach Angaben von SecurityWeek sagte ASOS, dass der Zugriff auf die betroffenen Benachrichtigungsplattformen eingeschränkt wurde und das Unternehmen mit internen und externen Sicherheitsspezialisten zusammenarbeitet.

Der Vorfall hat Aufmerksamkeit auf die Risiken der Drittanbieter-Software gelenkt, die von Einzelhändlern zum Versenden von Marketing- und App-Nachrichten verwendet wird, da solche Systeme umfassenden Zugriff auf Kundendaten haben können, während sie außerhalb der Kerninfrastruktur eines Unternehmens sitzen.

Ratschläge für Kunden

• Nach Angaben von Malwarebytes sollten Kunden unerwartete E-Mails, Texte oder App-Nachrichten, die sich auf den Datenverlust beziehen, mit Vorsicht behandeln und sollten nicht auf Links darin klicken.
• Malwarebytes empfahl, ASOS nur über die offizielle App oder Website zu besuchen, anstatt über Links, die in Nachrichten versendet werden.
• Malwarebytes empfahl, niemals ein Passwort oder einen einmaligen Sicherheitscode mit jemandem zu teilen, der Sie kontaktiert.
• Malwarebytes empfahl, auf Phishing-Versuche zu achten, die durchgesickerte Details wie Ihren Namen oder Ihre Adresse verwenden, um überzeugend zu wirken.