ASOS conferma una violazione dei dati dopo che gli hacker hanno dirottato l'app per inviare un avviso "ASOS HACKED"

ASOS, il rivenditore di moda online quotato a Londra, ha confermato un incidente di cybersicurezza in cui gli attaccanti hanno ottenuto l'accesso a una piattaforma di terze parti collegata alla sua app mobile e hanno ottenuto informazioni personali appartenenti ai clienti. L'azienda afferma di non credere che i dati delle carte di pagamento o le password dell'account siano stati compromessi.

Come è iniziata la violazione

Intorno alle 10:00 BST (05:00 ET) del 6 ottobre 2026, gli utenti dell'app ASOS hanno iniziato a ricevere una notifica push non autorizzata con il titolo "ASOS HACKED", secondo BleepingComputer e Help Net Security. ASOS ha rapidamente pubblicato un avviso in-app dicendo ai clienti di ignorare l'avviso e di non fare clic su alcun collegamento in esso.

ASOS ha affermato che l'intrusione è iniziata quando un attaccante si è spacciato per un contatto affidabile per ingannare un dipendente affinché consegnasse le credenziali di accesso, secondo Infosecurity Magazine e TechCrunch. Queste credenziali sono state quindi utilizzate per raggiungere piattaforme di terze parti su cui ASOS si affida per comunicare con i clienti, incluso il sistema utilizzato per inviare notifiche push dell'app.

Secondo Infosecurity Magazine, il ricercatore di malware Pieter Arntz ha suggerito che Simon AI, una piattaforma di marketing utilizzata da ASOS e costruita su Cortex AI di Snowflake, potrebbe essere indirettamente collegata all'incidente, sebbene questo non sia stato confermato come il modo in cui gli attaccanti hanno ottenuto l'accesso. Snowflake ha affermato che il problema non è risultato da alcuna vulnerabilità o errore di configurazione sulla sua piattaforma e che i suoi altri clienti non avevano bisogno di intraprendere azioni, ha riferito Infosecurity Magazine.

Quali dati sono stati esposti

Nelle sue prime dichiarazioni, ASOS ha affermato che le informazioni esposte erano limitate ai dettagli di contatto di base. Secondo SecurityWeek, ASOS ha confermato la violazione in una dichiarazione presentata alla Borsa di Londra il 7 ottobre 2026.

Gli hacker in seguito hanno fornito ai giornalisti un campione dei dati che affermano di possedere. Secondo Infosecurity Magazine e Malwarebytes, quel campione includeva nomi dei clienti, indirizzi di casa, numeri di telefono, indirizzi email, numeri di account dei clienti, date di nascita, date di creazione dell'account e record di ricerche che i clienti avevano effettuato sul sito web ASOS, con esempi come "reclaimed vintage" e "ASOS petite".

Chi c'è dietro l'attacco

Un gruppo che si identifica come Xuanye Group ha rivendicato la responsabilità, operando da un canale Telegram appena creato, secondo SecurityWeek e TechCrunch. In un messaggio indirizzato al responsabile della protezione dei dati e al team IT di ASOS, il gruppo ha affermato di aver compromesso l'istanza Snowflake dell'azienda e ha avvertito: "Impegnatevi con noi, o lo diffonderemo", secondo SecurityWeek e TechCrunch.

Infosecurity Magazine ha riferito che i ricercatori hanno tracciato l'account Telegram collegato al gruppo, che in precedenza aveva utilizzato nomi come "JohnCZ" e "Moon Transfers" in relazione al trading di articoli di giochi online, sebbene questa attività precedente non sia stata formalmente collegata all'intrusione di ASOS.

Scala e cosa rimane sconosciuto

ASOS ha circa 17 milioni di clienti, ha riferito TechCrunch, ma l'azienda non ha divulgato quanti account individuali sono stati interessati dalla violazione. Secondo SecurityWeek, ASOS ha affermato di aver limitato l'accesso alle piattaforme di notifica interessate e sta lavorando con specialisti di sicurezza interni ed esterni.

L'incidente ha attirato l'attenzione sui rischi del software di terze parti rivolto ai clienti utilizzato dai rivenditori per inviare messaggi di marketing e app, poiché tali sistemi possono avere un ampio accesso ai record dei clienti mentre si trovano al di fuori dell'infrastruttura principale di un'azienda.

Consigli per i clienti

• Secondo Malwarebytes, i clienti dovrebbero trattare con cautela e-mail, messaggi di testo o messaggi app inaspettati che fanno riferimento alla violazione e non dovrebbero fare clic sui link in essi.
• Malwarebytes ha consigliato di accedere ad ASOS solo tramite l'app ufficiale o il sito web piuttosto che tramite link inviati nei messaggi.
• Malwarebytes ha consigliato di non condividere mai una password o un codice di sicurezza monouso con chiunque ti contatti.
• Malwarebytes ha consigliato di stare attenti ai tentativi di phishing che utilizzano dettagli trapelati come il tuo nome o indirizzo per apparire convincenti.