ASOS подтверждает утечку данных после того, как хакеры взломали приложение и отправили оповещение "ASOS HACKED"

ASOS, зарегистрированный в Лондоне интернет-магазин модной одежды, подтвердил инцидент в области кибербезопасности, при котором злоумышленники получили доступ к платформе третьей стороны, подключенной к его мобильному приложению, и получили личную информацию клиентов. Компания заявляет, что не считает, что данные платежных карт или пароли учетных записей были скомпрометированы.

Как началась утечка

Около 10:00 BST (05:00 ET) 6 октября 2026 года пользователи приложения ASOS начали получать несанкционированное push-уведомление с заголовком "ASOS HACKED", согласно BleepingComputer и Help Net Security. ASOS быстро разместил внутриприложное сообщение, в котором посоветовал клиентам игнорировать оповещение и не нажимать на ссылки в нем.

ASOS сказал, что вторжение началось, когда злоумышленник выдал себя за доверенного контакта, чтобы обманом заставить сотрудника раскрыть учетные данные для входа, согласно Infosecurity Magazine и TechCrunch. Затем эти учетные данные были использованы для доступа к платформам третьих сторон, на которые ASOS полагается для общения с клиентами, включая систему, используемую для отправки push-уведомлений приложения.

Согласно Infosecurity Magazine, исследователь вредоносного ПО Pieter Arntz предположил, что Simon AI, маркетинговая платформа, используемая ASOS и построенная на основе Cortex AI компании Snowflake, может быть косвенно связана с инцидентом, хотя это не было подтверждено как способ, которым злоумышленники получили доступ. Snowflake сказала, что проблема не возникла из-за каких-либо уязвимостей или неправильной конфигурации на собственной платформе и что другие ее клиенты не нуждаются в каких-либо действиях, согласно Infosecurity Magazine.

Какие данные были раскрыты

В своих первых заявлениях ASOS сказала, что раскрытая информация ограничивалась основными контактными данными. Согласно SecurityWeek, ASOS подтвердила утечку в заявлении, поданном на Лондонской фондовой бирже 7 октября 2026 года.

Хакеры позже предоставили журналистам образец данных, которые, по их утверждению, они владеют. Согласно Infosecurity Magazine и Malwarebytes, этот образец включал имена клиентов, домашние адреса, номера телефонов, адреса электронной почты, номера счетов клиентов, даты рождения, даты создания счета и записи о поисках, которые клиенты делали на веб-сайте ASOS, с примерами такими как "reclaimed vintage" и "ASOS petite".

Кто стоит за атакой

Группа, называющая себя Xuanye Group, заявила об ответственности, работающая из новоcозданного канала Telegram, согласно SecurityWeek и TechCrunch. В сообщении, обращенном к сотруднику по защите данных и ИТ-команде ASOS, группа утверждала, что скомпрометировала экземпляр Snowflake компании и предупредила: "Вступите с нами в контакт, или мы его утечем", согласно SecurityWeek и TechCrunch.

Infosecurity Magazine сообщила, что исследователи проследили учетную запись Telegram, связанную с группой, которая ранее использовала имена, включая "JohnCZ" и "Moon Transfers", в связи с торговлей игровыми предметами в Интернете, хотя эта более ранняя деятельность не была формально связана с вторжением ASOS.

Масштаб и неизвестные моменты

ASOS имеет примерно 17 миллионов клиентов, сообщил TechCrunch, но компания не раскрыла, сколько отдельных учетных записей были затронуты утечкой. ASOS сказала, что она ограничила доступ к затронутым платформам уведомлений и работает с внутренними и внешними специалистами по безопасности, согласно SecurityWeek.

Инцидент привлек внимание к рискам программного обеспечения третьих сторон, ориентированного на клиентов, используемого розничными торговцами для отправки маркетинговых и приложения сообщений, поскольку такие системы могут обеспечить широкий доступ к записям клиентов при этом находясь вне основной инфраструктуры компании.

Рекомендации для клиентов

• Согласно Malwarebytes, клиенты должны относиться с осторожностью к неожиданным письмам, текстам или сообщениям приложения, ссылающимся на утечку, и не должны нажимать на ссылки в них.
• Malwarebytes рекомендовала получать доступ к ASOS только через официальное приложение или веб-сайт, а не через ссылки, отправленные в сообщениях.
• Malwarebytes рекомендовала никогда не делиться паролем или одноразовым кодом безопасности с кем-либо, кто с вами свяжется.
• Malwarebytes рекомендовала следить за попытками фишинга, которые используют утекшие детали, такие как ваше имя или адрес, чтобы выглядеть убедительно.