ASOS confirme une violation de données après que des pirates informatiques aient détourné l'application pour envoyer une alerte "ASOS HACKED"

ASOS, le détaillant de mode en ligne coté à Londres, a confirmé un incident de cybersécurité au cours duquel les attaquants ont obtenu un accès à une plateforme tierce connectée à son application mobile et ont obtenu les informations personnelles des clients. L'entreprise déclare qu'elle ne croit pas que les données de cartes de paiement ou les mots de passe de compte ont été compromis.

Comment la violation a commencé

Vers 10:00 BST (05:00 ET) le 6 octobre 2026, les utilisateurs de l'application ASOS ont commencé à recevoir une notification push non autorisée avec le titre "ASOS HACKED", selon BleepingComputer et Help Net Security. ASOS a rapidement publié un avis intégré à l'application informant les clients d'ignorer l'alerte et de ne cliquer sur aucun lien.

ASOS a déclaré que l'intrusion a commencé quand un attaquant s'est fait passer pour un contact de confiance pour tromper un employé et le faire révéler ses identifiants de connexion, selon Infosecurity Magazine et TechCrunch. Ces identifiants ont ensuite été utilisés pour accéder aux plates-formes tierces sur lesquelles ASOS s'appuie pour communiquer avec les clients, notamment le système utilisé pour envoyer les notifications push de l'application.

Selon Infosecurity Magazine, le chercheur en malware Pieter Arntz a suggéré que Simon AI, une plateforme de marketing utilisée par ASOS et construite sur Cortex AI de Snowflake, pourrait être indirectement liée à l'incident, bien que cela n'ait pas été confirmé comme la manière dont les attaquants ont obtenu un accès. Snowflake a déclaré que le problème ne résultait d'aucune vulnérabilité ou mauvaise configuration sur sa propre plateforme et que ses autres clients n'avaient pas besoin de prendre aucune mesure, a rapporté Infosecurity Magazine.

Quelles données ont été exposées

Dans ses premières déclarations, ASOS a déclaré que les informations exposées se limitaient aux détails de contact de base. Selon SecurityWeek, ASOS a confirmé la violation dans une déclaration déposée auprès de la Bourse de Londres le 7 octobre 2026.

Les pirates informatiques ont ensuite fourni aux journalistes un échantillon des données qu'ils prétendent détenir. Selon Infosecurity Magazine et Malwarebytes, cet échantillon incluait les noms des clients, les adresses résidentielles, les numéros de téléphone, les adresses e-mail, les numéros de compte client, les dates de naissance, les dates de création de compte et les enregistrements des recherches que les clients avaient effectuées sur le site Web d'ASOS, avec des exemples tels que "reclaimed vintage" et "ASOS petite".

Qui est derrière l'attaque

Un groupe s'identifiant comme Xuanye Group a revendiqué la responsabilité, opérant depuis un canal Telegram nouvellement créé, selon SecurityWeek et TechCrunch. Dans un message adressé à l'agent de protection des données et à l'équipe informatique d'ASOS, le groupe a affirmé avoir compromis l'instance Snowflake de l'entreprise et a averti : "Engagez-vous avec nous, ou nous le divulguerons", selon SecurityWeek et TechCrunch.

Infosecurity Magazine a rapporté que les chercheurs avaient retracé le compte Telegram lié au groupe, qui avait précédemment utilisé des noms incluant "JohnCZ" et "Moon Transfers" en relation avec le commerce d'objets de jeux en ligne, bien que cette activité antérieure n'ait pas été formellement liée à l'intrusion d'ASOS.

Ampleur et ce qui reste inconnu

ASOS compte environ 17 millions de clients, a rapporté TechCrunch, mais l'entreprise n'a pas divulgué le nombre de comptes individuels affectés par la violation. ASOS a déclaré qu'elle avait restreint l'accès aux plates-formes de notification affectées et qu'elle travaille avec des spécialistes en sécurité internes et externes, selon SecurityWeek.

L'incident a attiré l'attention sur les risques des logiciels tiers orientés client utilisés par les détaillants pour envoyer des messages marketing et d'application, car de tels systèmes peuvent avoir un accès large aux enregistrements des clients tout en restant en dehors de l'infrastructure principale d'une entreprise.

Conseils pour les clients

• Selon Malwarebytes, les clients doivent traiter avec prudence les e-mails inattendus, les textes ou les messages d'application faisant référence à la violation, et ne pas cliquer sur les liens.
• Malwarebytes a conseillé d'accéder à ASOS uniquement via l'application officielle ou le site Web plutôt que via des liens envoyés dans des messages.
• Malwarebytes a conseillé de ne jamais partager un mot de passe ou un code de sécurité à usage unique avec quiconque vous contacte.
• Malwarebytes a conseillé de rester vigilant face aux tentatives de phishing qui utilisent des détails divulgués tels que votre nom ou adresse pour paraître convaincants.