ASOSがハッカーによるアプリ乗っ取りで「ASOS HACKED」アラート送信後、データ漏洩を確認

ロンドン上場のオンラインファッション小売業者ASOSは、攻撃者がそのモバイルアプリに接続されたサードパーティプラットフォームへのアクセスを得て、顧客の個人情報を取得したサイバーセキュリティインシデントを確認しました。同社は、ペイメントカードデータやアカウントパスワードが侵害されたとは考えていないと述べています。

漏洩の開始方法

2026年10月6日のBST午前10時（ET午前5時）頃、ASOSアプリユーザーは「ASOS HACKED」という見出しの不正なプッシュ通知を受け取り始めました（BleepingComputerおよびHelp Net Securityによると）。ASOSはすぐにアプリ内通知を投稿し、顧客にアラートを無視し、その中のリンクをクリックしないよう指示しました。

ASOSは、攻撃者が信頼できる連絡先になりすまし、従業員をだまして認証情報を提供させることで侵害が開始されたと述べています（Infosecurity MagazineおよびTechCrunchによると）。これらの認証情報は、ASOSが顧客との通信に依存するサードパーティプラットフォーム（アプリプッシュ通知を送信するために使用されるシステムを含む）に到達するために使用されました。

Infosecurity Magazineによると、マルウェア研究者Pieter Artzは、ASOSが使用し、SnowflakeのCortex AIに基づいて構築されたマーケティングプラットフォームであるSimon AIが、この事件に間接的にリンクされている可能性があると示唆しましたが、これは攻撃者がアクセスを得た方法として確認されていません。Snowflakeは、この問題は独自のプラットフォーム上のいかなる脆弱性またはミスコンフィグレーションからも生じたものではなく、他の顧客は措置を講じる必要はないとInfosecurity Magazineが報じたと述べました。

公開されたデータ

最初の声明では、ASOSは公開された情報は基本的な連絡先の詳細に限定されていると述べました。SecurityWeekによると、ASOSは2026年10月7日にロンドン証券取引所に提出された声明で漏洩を確認しました。

ハッカーは後にレポーターにデータサンプルを提供しました。Infosecurity MagazineおよびMalwarebyesによると、そのサンプルには顧客名、住所、電話番号、メールアドレス、顧客アカウント番号、生年月日、アカウント作成日、ASOSウェブサイトで顧客が行った検索記録（「reclaimed vintage」や「ASOS petite」などの例を含む）が含まれていました。

攻撃の背後にいる者

Xuanye Groupと名乗るグループが責任を主張し、新しく作成されたTelegramチャネルから活動しています（SecurityWeekおよびTechCrunchによると）。ASOSのデータ保護責任者とITチームに宛てたメッセージで、このグループはSnowflakeインスタンスを侵害したと主張し、「我々と関わるか、リークする」と警告しました（SecurityWeekおよびTechCrunchによると）。

Infosecurity Magazineは、このグループにリンクされたTelegramアカウントを追跡した研究者が報告したところ、以前は「JohnCZ」と「Moon Transfers」を含む名前を使用していたことが、オンラインゲームアイテム取引に関連して報告されていますが、このより早い活動はASOSの侵害に正式には結びついていません。

規模と不明な点

ASOSは約1,700万人の顧客を持っています（TechCrunchが報じた）が、同社は漏洩の影響を受けたアカウントの数を開示していません。ASOSは、影響を受けた通知プラットフォームへのアクセスを制限し、内部および外部のセキュリティスペシャリストと協力していると述べています（SecurityWeekによると）。

この事件は、小売業者が顧客データへの広範なアクセスを持ちながら企業の中核インフラストラクチャの外にあるため、マーケティングおよびアプリメッセージを送信するために使用するサードパーティの顧客向けソフトウェアのリスクに注目を集めています。

顧客へのアドバイス

• Malwarebyesによると、顧客は漏洩に言及する予期しないメール、テキスト、またはアプリメッセージを慎重に扱うべきであり、それらのリンクをクリックしてはいけません。
• Malwarebyesはメッセージで送信されたリンクではなく、公式アプリまたはウェブサイトを通じてのみASOSにアクセスすることをお勧めします。
• Malwarebyesは、自分に連絡してきた人とパスワードまたはワンタイム性セキュリティコードを共有しないようアドバイスしました。
• Malwarebyesは、漏洩した詳細（名前やアドレスなど）を使用して信頼できるように見えるフィッシング試みに注視するようアドバイスしました。