ASOS确认数据泄露事件，黑客劫持应用发送"ASOS被黑"警报

ASOS是一家在伦敦上市的在线时尚零售商，已确认了一起网络安全事件，攻击者在该事件中获得了与其移动应用相连接的第三方平台的访问权限，并获取了属于客户的个人信息。该公司表示认为支付卡数据或账户密码未被泄露。

数据泄露如何开始的

根据BleepingComputer和Help Net Security的报道，在2026年10月6日伦敦时间上午10:00左右（东部时间05:00），ASOS应用用户开始收到一条未经授权的推送通知，标题为"ASOS被黑"。ASOS很快在应用内发布了通知，告诉客户忽略该警报并不要点击其中的任何链接。

根据Infosecurity Magazine和TechCrunch的报道，ASOS表示入侵始于一名攻击者冒充信任的联系人，欺骗一名员工提交登录凭证。这些凭证随后被用来访问ASOS用来与客户沟通的第三方平台，包括用于发送应用推送通知的系统。

根据Infosecurity Magazine的报道，恶意软件研究员Pieter Arntz建议，Simon AI（ASOS使用的营销平台，基于Snowflake的Cortex AI构建）可能与该事件间接相关，尽管这还没有被确认为攻击者获得访问权限的方式。Infosecurity Magazine报道，Snowflake表示该问题不是由其自身平台上的任何漏洞或配置错误造成的，其他客户不需要采取任何行动。

暴露了哪些数据

在最初的声明中，ASOS表示暴露的信息仅限于基本的联系方式。根据SecurityWeek的报道，ASOS在2026年10月7日向伦敦证券交易所提交的声明中确认了数据泄露。

黑客随后向记者提供了他们声称持有的数据样本。根据Infosecurity Magazine和Malwarebytes的报道，该样本包括客户姓名、家庭地址、电话号码、电子邮件地址、客户账户号码、出生日期、账户创建日期以及客户在ASOS网站上进行的搜索记录，例如"reclaimed vintage"和"ASOS petite"。

谁是攻击的幕后人员

根据SecurityWeek和TechCrunch的报道，一个自称为Xuanye Group的组织声称对此负责，并通过新建立的Telegram频道进行操作。根据SecurityWeek和TechCrunch，该组织在一条针对ASOS数据保护官和IT团队的信息中声称已破坏了该公司的Snowflake实例，并警告说"与我们联系，否则我们将泄露它"。

Infosecurity Magazine报道，研究人员追踪了与该组织相关联的Telegram账户，该账户之前在与在线游戏物品交易相关的活动中使用过"JohnCZ"和"Moon Transfers"等名称，尽管这些早期活动尚未被正式与ASOS入侵联系起来。

规模和未知的内容

TechCrunch报道，ASOS拥有大约1700万客户，但该公司尚未披露有多少个账户受到数据泄露的影响。根据SecurityWeek的报道，ASOS表示已限制了对受影响通知平台的访问，并正在与内部和外部安全专家合作。

该事件引起了人们对零售商用于发送营销和应用消息的第三方、面向客户的软件风险的关注，因为这些系统可以获得对客户记录的广泛访问权限，同时又在公司的核心基础设施之外运行。

客户建议

• 根据Malwarebytes，客户应谨慎对待涉及数据泄露的意外电子邮件、短信或应用消息，不应点击其中的链接。
• Malwarebytes建议仅通过官方应用或网站访问ASOS，而不是通过消息中发送的链接。
• Malwarebytes建议永远不要与任何联系您的人分享密码或一次性安全代码。
• Malwarebytes建议警惕使用泄露的详细信息（如您的姓名或地址）来伪装的网络钓鱼尝试。