ASOS, bilgisayar korsanlarının uygulamayı ele geçirip "ASOS HACKLENDİ" uyarısı göndermesinin ardından veri ihlalini doğruladı

Londra borsasında işlem gören çevrimiçi moda perakendecisi ASOS, saldırganların mobil uygulamasına bağlı üçüncü taraf bir platforma erişim sağladığı ve müşterilere ait kişisel bilgileri ele geçirdiği bir siber güvenlik olayını doğruladı. Şirket, ödeme kartı verilerinin veya hesap şifrelerinin ele geçirildiğine inanmadığını belirtiyor.

İhlal nasıl başladı

BleepingComputer ve Help Net Security'ye göre, 6 Ekim 2026'da yerel saatle (BST) 10:00 (ET 05:00) sıralarında ASOS uygulaması kullanıcıları, başlığında "ASOS HACKLENDİ" yazan yetkisiz bir anlık bildirim almaya başladı. ASOS, hızla uygulama içi bir bildirim yayınlayarak müşterilerden uyarıyı görmezden gelmelerini ve içindeki hiçbir bağlantıya tıklamamalarını istedi.

Infosecurity Magazine ve TechCrunch'a göre ASOS, saldırının bir çalışanı güvenilir bir kişi gibi davranarak giriş bilgilerini vermeye kandıran bir saldırganla başladığını açıkladı. Bu kimlik bilgileri daha sonra ASOS'un müşterilerle iletişim kurmak için kullandığı, uygulama anlık bildirimlerini göndermek için kullanılan sistem de dahil olmak üzere üçüncü taraf platformlara erişmek için kullanıldı.

Infosecurity Magazine'e göre, kötü amaçlı yazılım araştırmacısı Pieter Arntz, ASOS'un kullandığı ve Snowflake'in Cortex AI'sı üzerine inşa edilmiş bir pazarlama platformu olan Simon AI'nin olayla dolaylı olarak bağlantılı olabileceğini öne sürdü; ancak bunun saldırganların erişim sağladığı yöntem olduğu doğrulanmadı. Infosecurity Magazine'in haberine göre Snowflake, sorunun kendi platformundaki herhangi bir güvenlik açığından veya yanlış yapılandırmadan kaynaklanmadığını ve diğer müşterilerinin herhangi bir işlem yapmasına gerek olmadığını söyledi.

Hangi veriler açığa çıktı

İlk açıklamalarında ASOS, açığa çıkan bilgilerin temel iletişim bilgileriyle sınırlı olduğunu belirtti. SecurityWeek'e göre ASOS, ihlali 7 Ekim 2026'da Londra Borsası'na sunduğu bir açıklamada doğruladı.

Bilgisayar korsanları daha sonra ellerinde bulunduğunu iddia ettikleri verilerden bir örneği gazetecilere verdi. Infosecurity Magazine ve Malwarebytes'e göre bu örnek; müşteri isimleri, ev adresleri, telefon numaraları, e-posta adresleri, müşteri hesap numaraları, doğum tarihleri, hesap oluşturma tarihleri ve müşterilerin ASOS web sitesinde yaptığı aramaların kayıtlarını içeriyordu; "reclaimed vintage" ve "ASOS petite" gibi örnekler bunlar arasındaydı.

Saldırının arkasında kim var

SecurityWeek ve TechCrunch'a göre, kendisini Xuanye Group olarak tanıtan bir grup, yeni oluşturulmuş bir Telegram kanalı üzerinden sorumluluğu üstlendi. SecurityWeek ve TechCrunch'a göre grup, ASOS'un veri koruma görevlisine ve BT ekibine hitaben gönderdiği bir mesajda, şirketin Snowflake sistemini ele geçirdiğini iddia etti ve "Bizimle iletişime geçin, yoksa sızdıracağız" uyarısında bulundu.

Infosecurity Magazine'in haberine göre, araştırmacılar gruba bağlı Telegram hesabını takip etti; bu hesap daha önce çevrimiçi oyun eşyası ticaretiyle bağlantılı olarak "JohnCZ" ve "Moon Transfers" gibi isimler kullanmıştı, ancak bu önceki faaliyetin ASOS saldırısıyla resmi olarak bağlantısı kurulmadı.

Ölçek ve bilinmeyenler

TechCrunch'ın haberine göre ASOS'un yaklaşık 17 milyon müşterisi var, ancak şirket ihlalden kaç bireysel hesabın etkilendiğini açıklamadı. SecurityWeek'e göre ASOS, etkilenen bildirim platformlarına erişimi kısıtladığını ve kurum içi ve dışı güvenlik uzmanlarıyla çalıştığını belirtti.

Olay, perakendecilerin pazarlama ve uygulama mesajları göndermek için kullandığı, müşteriyle yüz yüze çalışan üçüncü taraf yazılımların risklerine dikkat çekti; çünkü bu tür sistemler, şirketin ana altyapısının dışında yer alırken müşteri kayıtlarına geniş erişime sahip olabiliyor.

Müşteriler için tavsiyeler

• Malwarebytes'e göre müşteriler, ihlale atıfta bulunan beklenmedik e-postalara, mesajlara veya uygulama bildirimlerine karşı dikkatli olmalı ve içlerindeki bağlantılara tıklamamalıdır.
• Malwarebytes, ASOS'a mesajlarla gönderilen bağlantılar üzerinden değil, yalnızca resmi uygulama veya web sitesi üzerinden erişilmesini önerdi.
• Malwarebytes, bir şifreyi veya tek kullanımlık güvenlik kodunu sizinle iletişime geçen hiç kimseyle asla paylaşmamanızı önerdi.
• Malwarebytes, inandırıcı görünmek için isminiz veya adresiniz gibi sızdırılan bilgileri kullanan kimlik avı girişimlerine karşı dikkatli olunmasını önerdi.