ASOS ڈیٹا کی خلاف قانون داخلگی کی تصدیق کرتا ہے بعد میں ہیکرز نے ایپ کو ہائی جیک کیا "ASOS HACKED" الرٹ بھیجنے کے لیے

London میں درج ASOS آن لائن فیشن ریٹیلر نے سائبر سیکیورٹی کے ایک واقعے کی تصدیق کی ہے جس میں حملہ آوروں نے اپنی موبائل ایپ سے منسلک ایک تیسری فریق پلیٹ فارم تک رسائی حاصل کی اور صارفین سے متعلق ذاتی معلومات حاصل کی۔ کمپنی کہتی ہے کہ یہ نہیں سوچتے کہ ادائیگی کارڈ کے ڈیٹا یا اکاؤنٹ کے پاس ورڈ سے سمجھوتہ ہوا تھا۔

خلاف قانون داخلگی کیسے شروع ہوئی

6 اکتوبر 2026 کو تقریباً 10:00 BST (05:00 ET) کے آس پاس، ASOS ایپ کے صارفین کو BleepingComputer اور Help Net Security کے مطابق "ASOS HACKED" سرخی کے ساتھ ایک غیر مجاز پش نوٹیفکیشن موصول ہونا شروع ہوا۔ ASOS نے جلد ہی ایپ میں نوٹس شائع کیا جس میں صارفین کو الرٹ کو نظر انداز کرنے اور اس میں کسی بھی لنک پر کلک نہ کرنے کے لیے کہا۔

ASOS کے مطابق Infosecurity Magazine اور TechCrunch کے مطابق، یہ خلاف قانون داخلگی اس وقت شروع ہوئی جب ایک حملہ آور نے ایک قابل اعتماد رابطے کا بہروپ دھارن کیا تاکہ ایک ملازم کو لاگ ان حالات دینے کے لیے دھوکہ دے۔ پھر ان حالات کو تیسری فریق پلیٹ فارمز تک رسائی کے لیے استعمال کیا گیا جس پر ASOS صارفین کے ساتھ رابطے میں رہنے کے لیے منحصر ہے، جس میں ایپ پش نوٹیفکیشن بھیجنے کے لیے استعمال ہونے والا نظام بھی شامل ہے۔

Infosecurity Magazine کے مطابق، malware محقق Pieter Arntz نے تجویز دیا کہ Simon AI، ASOS کے ذریعے استعمال کیا جانے والا ایک مارکیٹنگ پلیٹ فارم جو Snowflake کے Cortex AI پر بنایا گیا ہے، بالواسطہ اس واقعے سے منسلک ہو سکتا ہے، اگرچہ یہ تصدیق نہیں کی گئی کہ یہ وہ طریقہ ہے جس سے حملہ آور رسائی حاصل کیے۔ Snowflake نے کہا کہ یہ مسئلہ اپنے پلیٹ فارم پر کسی بھی کمزوری یا غلط ترتیب سے نہیں آیا اور Infosecurity Magazine کے مطابق اس کے دوسرے صارفین کو کوئی کارروائی کرنے کی ضرورت نہیں تھی۔

کون سا ڈیٹا ظاہر ہوا

اپنی پہلی اقرار میں، ASOS نے کہا کہ ظاہر کی گئی معلومات بنیادی رابطہ تفصیلات تک محدود تھی۔ SecurityWeek کے مطابق، ASOS نے 7 اکتوبر 2026 کو London Stock Exchange کے ساتھ درج ایک بیان میں خلاف قانون داخلگی کی تصدیق کی۔

حملہ آوروں نے بعد میں رپورٹرز کو ڈیٹا کے نمونے کا دیا جو وہ رکھنے کا دعویٰ کرتے ہیں۔ Infosecurity Magazine اور Malwarebytes کے مطابق، اس نمونے میں صارفین کے نام، گھر کے پتے، فون نمبر، ای میل پتے، صارف اکاؤنٹ نمبر، پیدائش کی تاریخیں، اکاؤنٹ کی تخلیق کی تاریخیں، اور صارفین کے ASOS ویب سائٹ پر تلاش کے ریکارڈ شامل تھے، مثالوں کے ساتھ جیسے "reclaimed vintage" اور "ASOS petite"۔

حملے کے پیچھے کون ہے

ایک گروپ جو خود کو Xuanye Group کہتا ہے اور SecurityWeek اور TechCrunch کے مطابق ایک نیا بنایا گیا Telegram چینل سے کام کر رہا ہے، نے ذمہ داری کا دعویٰ کیا۔ ASOS کے ڈیٹا تحفظ افسر اور IT ٹیم کو خطاب کیے گئے پیغام میں، گروپ نے SecurityWeek اور TechCrunch کے مطابق کمپنی کے Snowflake انسٹینس سے سمجھوتہ کرنے کا دعویٰ کیا اور انتباہ دیا، "ہمارے ساتھ رابطے میں آئیں، یا ہم اسے لیک کر دیں گے۔"

Infosecurity Magazine نے رپورٹ کیا کہ محققین نے گروپ سے منسلک Telegram اکاؤنٹ کا پتہ لگایا، جس نے پہلے آن لائن گیمنگ آئٹم تجارت کے سلسلے میں "JohnCZ" اور "Moon Transfers" سمیت نام استعمال کیے تھے، اگرچہ یہ پہلے کی سرگرمی ASOS کی خلاف قانون داخلگی سے رسمی طور پر منسلک نہیں کی گئی ہے۔

پیمانہ اور جو غیر معلوم رہتا ہے

ASOS کے TechCrunch رپورٹ کے مطابق تقریباً 17 ملین صارفین ہیں، لیکن کمپنی نے خلاف قانون داخلگی سے متاثر انفرادی اکاؤنٹس کی تعداد افشا نہیں کی ہے۔ SecurityWeek کے مطابق ASOS نے متاثر نوٹیفکیشن پلیٹ فارمز تک رسائی کو محدود کیا اور اندرونی اور بیرونی سیکیورٹی ماہرین کے ساتھ کام کر رہا ہے۔

واقعے نے تیسری فریق، صارف سے متوجہ سافٹ ویئر کے خطرات کی طرف توجہ دی ہے جو کہ ریٹیلرز کو مارکیٹنگ اور ایپ پیغامات بھیجنے کے لیے استعمال کرتے ہیں، کیونکہ ایسے نظام صارفین کے ریکارڈ تک وسیع رسائی رکھ سکتے ہوئے کمپنی کے بنیادی بنیادی ڈھانچے سے باہر بیٹھ سکتے ہیں۔

صارفین کے لیے مشورہ

• Malwarebytes کے مطابق، صارفین کو خلاف قانون داخلگی کی حوالے سے غیر متوقع ای میلز، متن یا ایپ پیغامات سے احتیاط برتنی چاہیے، اور ان میں کسی بھی لنک پر کلک نہیں کرنی چاہیے۔
• Malwarebytes نے پیغامات میں بھیجے گئے لنکس کے بجائے صرف سرکاری ایپ یا ویب سائٹ کے ذریعے ASOS تک رسائی کا مشورہ دیا۔
• Malwarebytes نے کسی بھی پاس ورڈ یا ایک وقتی سیکیورٹی کوڈ کو کسی ایسے شخص کے ساتھ شیئر کرنے کی ہدایت کی جو آپ سے رابطہ کرتا ہے۔
• Malwarebytes نے اس بات کی نگرانی کرنے کا مشورہ دیا کہ صارفین آپ کے نام یا پتے جیسے لیک شدہ تفصیلات استعمال کرتے ہوئے فشنگ کے کوششوں کے لیے قابل یقین نظر آئے۔