ASOS mengonfirmasi pelanggaran data setelah peretas membajak aplikasi untuk mengirim peringatan "ASOS HACKED"

ASOS, pengecer fashion online yang terdaftar di London, telah mengonfirmasi insiden keamanan siber di mana penyerang mendapatkan akses ke platform pihak ketiga yang terhubung dengan aplikasi mobile-nya dan memperoleh informasi pribadi yang milik pelanggan. Perusahaan mengatakan bahwa tidak percaya data kartu pembayaran atau kata sandi akun telah dikompromikan.

Bagaimana pelanggaran dimulai

Sekitar pukul 10:00 BST (05:00 ET) pada 6 Oktober 2026, pengguna aplikasi ASOS mulai menerima notifikasi push yang tidak sah dengan judul "ASOS HACKED", menurut BleepingComputer dan Help Net Security. ASOS dengan cepat memposting pemberitahuan dalam aplikasi yang memberi tahu pelanggan untuk mengabaikan peringatan dan tidak mengklik tautan apa pun di dalamnya.

Menurut ASOS berdasarkan Infosecurity Magazine dan TechCrunch, pelanggaran dimulai ketika penyerang menyamar sebagai kontak terpercaya untuk menipu karyawan agar memberikan kredensial login. Kredensial tersebut kemudian digunakan untuk menjangkau platform pihak ketiga yang ASOS andalkan untuk berkomunikasi dengan pelanggan, termasuk sistem yang digunakan untuk mengirim notifikasi push aplikasi.

Menurut Infosecurity Magazine, peneliti malware Pieter Arntz menyarankan bahwa Simon AI, platform pemasaran yang digunakan oleh ASOS dan dibangun di atas Cortex AI Snowflake, mungkin secara tidak langsung terkait dengan insiden tersebut, meskipun ini belum dikonfirmasi sebagai cara penyerang mendapatkan akses. Snowflake mengatakan masalah tidak diakibatkan oleh kerentanan atau salah konfigurasi apa pun pada platformnya sendiri dan bahwa pelanggan lainnya tidak perlu mengambil tindakan apa pun, menurut laporan Infosecurity Magazine.

Data apa yang terbuka

Dalam pernyataan pertamanya, ASOS mengatakan informasi yang terbuka terbatas pada detail kontak dasar. Menurut SecurityWeek, ASOS mengonfirmasi pelanggaran dalam pernyataan yang diajukan kepada London Stock Exchange pada 7 Oktober 2026.

Peretas kemudian memberi para jurnalis sampel data yang mereka klaim pegang. Menurut Infosecurity Magazine dan Malwarebytes, sampel tersebut termasuk nama pelanggan, alamat rumah, nomor telepon, alamat email, nomor akun pelanggan, tanggal lahir, tanggal pembuatan akun, dan catatan pencarian yang dilakukan pelanggan di situs web ASOS, dengan contoh seperti "reclaimed vintage" dan "ASOS petite".

Siapa di balik serangan

Sebuah kelompok yang mengidentifikasi dirinya sebagai Xuanye Group mengklaim bertanggung jawab, beroperasi dari saluran Telegram yang baru dibuat, menurut SecurityWeek dan TechCrunch. Dalam pesan yang ditujukan kepada petugas perlindungan data dan tim IT ASOS, kelompok tersebut mengklaim telah mengkompromikan instans Snowflake perusahaan dan memperingatkan, "Terlibat dengan kami, atau kami akan membocorkannya," menurut SecurityWeek dan TechCrunch.

Infosecurity Magazine melaporkan bahwa peneliti melacak akun Telegram yang terkait dengan kelompok, yang sebelumnya menggunakan nama termasuk "JohnCZ" dan "Moon Transfers" sehubungan dengan perdagangan item game online, meskipun aktivitas awal ini belum secara formal dikaitkan dengan pelanggaran ASOS.

Skala dan apa yang tetap tidak diketahui

ASOS memiliki sekitar 17 juta pelanggan, menurut laporan TechCrunch, tetapi perusahaan belum mengungkapkan berapa banyak akun individu yang terpengaruh oleh pelanggaran. ASOS mengatakan itu membatasi akses ke platform pemberitahuan yang terkena dampak dan bekerja dengan spesialis keamanan internal dan eksternal, menurut SecurityWeek.

Insiden ini telah menarik perhatian pada risiko perangkat lunak pihak ketiga yang menghadap pelanggan yang digunakan oleh pengecer untuk mengirim pesan pemasaran dan aplikasi, karena sistem tersebut dapat memiliki akses luas ke catatan pelanggan sambil duduk di luar infrastruktur inti perusahaan.

Saran untuk pelanggan

• Menurut Malwarebytes, pelanggan harus memperlakukan email, teks, atau pesan aplikasi yang tidak terduga yang mereferensikan pelanggaran dengan hati-hati, dan tidak boleh mengklik tautan di dalamnya.
• Malwarebytes menyarankan mengakses ASOS hanya melalui aplikasi atau situs web resmi daripada melalui tautan yang dikirim dalam pesan.
• Malwarebytes menyarankan untuk tidak pernah berbagi kata sandi atau kode keamanan sekali pakai dengan siapa pun yang menghubungi Anda.
• Malwarebytes menyarankan untuk memantau upaya phishing yang menggunakan detail yang bocor seperti nama atau alamat Anda agar terlihat meyakinkan.