ASOS potwierdza naruszenie danych po tym, jak hakerzy przejęli aplikację i wysłali alert "ASOS HACKED"

ASOS, przedsiębiorstwo handlu detalicznego online notowane na giełdzie w Londynie, potwierdziło incydent związany z bezpieczeństwem cybernetycznym, w którym atakujący uzyskali dostęp do platformy trzeciej strony podłączonej do jego aplikacji mobilnej i uzyskali dane osobowe klientów. Firma stwierdza, że nie uważa, aby dane karty płatniczej lub hasła konta zostały naruszone.

Jak doszło do naruszenia

Około 10:00 BST (05:00 ET) w dniu 6 października 2026 roku użytkownicy aplikacji ASOS zaczęli otrzymywać nieautoryzowane powiadomienie push z nagłówkiem "ASOS HACKED", zgodnie z BleepingComputer i Help Net Security. ASOS szybko opublikował zawiadomienie w aplikacji, nakazując klientom zignorować alert i nie klikać żadnych linków w nim.

ASOS powiedział, że włamanie rozpoczęło się, gdy atakujący podszył się pod zaufany kontakt, aby oszukać pracownika, aby ujawnił poświadczenia logowania, zgodnie z Infosecurity Magazine i TechCrunch. Te poświadczenia zostały następnie wykorzystane w celu uzyskania dostępu do platform trzecich stron, na które ASOS polega w celu komunikowania się z klientami, w tym systemu używanego do wysyłania powiadomień push aplikacji.

Zgodnie z Infosecurity Magazine, badacz złośliwego oprogramowania Pieter Arntz zasugerował, że Simon AI, platforma marketingowa używana przez ASOS i zbudowana na bazie Cortex AI firmy Snowflake, może być pośrednio powiązana z incydentem, chociaż nie zostało to potwierdzone jako sposób, w jaki atakujący uzyskali dostęp. Snowflake powiedział, że problem nie wynikł z żadnych luk w zabezpieczeniach lub błędnej konfiguracji na jego własnej platformie i że inni jej klienci nie muszą podejmować żadnych działań, jak doniosła Infosecurity Magazine.

Jakie dane zostały ujawnione

W swoich pierwszych oświadczeniach ASOS stwierdziła, że ujawnione informacje ograniczały się do podstawowych danych kontaktowych. Zgodnie z SecurityWeek, ASOS potwierdziła naruszenie w oświadczeniu złożonym na Giełdzie Papierów Wartościowych w Londynie w dniu 7 października 2026 roku.

Hakerzy później dostarczyli dziennikarzom próbkę danych, które twierdzą, że posiadają. Zgodnie z Infosecurity Magazine i Malwarebytes, ta próbka obejmowała imiona i nazwiska klientów, adresy domowe, numery telefonów, adresy e-mail, numery kont klientów, daty urodzenia, daty utworzenia konta oraz rejestr wyszukiwań dokonanych przez klientów na stronie internetowej ASOS, z przykładami takimi jak "reclaimed vintage" i "ASOS petite".

Kto stoi za atakiem

Grupa określająca się mianem Xuanye Group przyznała się do odpowiedzialności, działając z nowo utworzonego kanału Telegram, zgodnie z SecurityWeek i TechCrunch. W wiadomości skierowanej do oficera ochrony danych i zespołu IT firmy ASOS, grupa twierdziła, że zagroziła instancji Snowflake firmy i ostrzegła: "Zaangażuj się z nami, lub wyciekniemy to", zgodnie z SecurityWeek i TechCrunch.

Infosecurity Magazine poinformowała, że badacze śledzili konto Telegram powiązane z grupą, która wcześniej używała nazw, w tym "JohnCZ" i "Moon Transfers", w związku z handlem przedmiotami gier online, chociaż ta wcześniejsza aktywność nie została formalnie powiązana z włamaniem do ASOS.

Skala i to, co pozostaje nieznane

ASOS ma około 17 milionów klientów, jak poinformował TechCrunch, ale firma nie ujawniła, ile poszczególnych kont zostało dotkniętych naruszeniem. ASOS powiedziała, że ograniczyła dostęp do dotkniętych platform powiadomień i pracuje z wewnętrznymi i zewnętrznymi specjalistami ds. bezpieczeństwa, zgodnie z SecurityWeek.

Incydent zwrócił uwagę na ryzyko oprogramowania stron trzecich skierowanego do klientów, używanego przez detalistów do wysyłania wiadomości marketingowych i aplikacji, ponieważ takie systemy mogą zapewniać szeroki dostęp do rekordów klientów, jednocześnie pozostając poza podstawową infrastrukturą firmy.

Porady dla klientów

• Zgodnie z Malwarebytes, klienci powinni podchodzić z ostrożnością do nieoczekiwanych wiadomości e-mail, SMS-ów lub powiadomień aplikacji odwołujących się do naruszenia i nie powinni klikać łączy w nich.
• Malwarebytes rekomendowała dostęp do ASOS wyłącznie poprzez oficjalną aplikację lub witrynę internetową, a nie poprzez łącza wysłane w wiadomościach.
• Malwarebytes rekomendowała nigdy nie udostępniać hasła ani jednorazowego kodu bezpieczeństwa osobie, która się z tobą skontaktuje.
• Malwarebytes rekomendowała obserwowanie prób phishingu, które wykorzystują ujawnione dane, takie jak twoje imię lub adres, aby wydawać się przekonywające.