ASOS 確認數據泄露，黑客劫持應用程式發送「ASOS 被黑」警報

倫敦上市的在線時尚零售商 ASOS 證實發生了一起網絡安全事件，攻擊者獲得了與其移動應用程式相關聯的第三方平台的訪問權限，並獲得了屬於客戶的個人信息。公司表示不認為支付卡數據或賬戶密碼遭到泄露。

泄露如何開始

根據 BleepingComputer 和 Help Net Security 的報導，大約在 2026 年 10 月 6 日英國夏令時上午 10:00（東部時間 05:00），ASOS 應用用戶開始收到一條未經授權的推送通知，標題為「ASOS 被黑」。ASOS 迅速發佈了應用內通知，告訴客戶忽略該警報，不要點擊其中的任何鏈接。

根據 Infosecurity Magazine 和 TechCrunch 的報導，ASOS 表示入侵始於攻擊者冒充受信任的聯繫人，欺騙員工交出登錄憑證。這些憑證隨後被用來訪問 ASOS 依賴的第三方平台來與客戶溝通，包括用於發送應用推送通知的系統。

根據 Infosecurity Magazine 的報導，惡意軟件研究員 Pieter Arntz 建議，由 ASOS 使用並基於 Snowflake 的 Cortex AI 構建的營銷平台 Simon AI 可能與該事件間接相關，但這還未被確認為攻擊者獲得訪問權限的方式。Infosecurity Magazine 報導稱，Snowflake 表示該問題並非由其自身平台上的任何漏洞或配置錯誤造成的，其他客戶不需要採取任何行動。

暴露了什麼數據

在最初的聲明中，ASOS 表示暴露的信息僅限於基本聯繫方式。根據 SecurityWeek 的報導，ASOS 在 2026 年 10 月 7 日向倫敦證券交易所提交的聲明中確認了此次泄露。

黑客隨後向記者提供了他們聲稱持有的數據樣本。根據 Infosecurity Magazine 和 Malwarebytes 的報導，該樣本包括客戶姓名、家庭地址、電話號碼、電子郵件地址、客戶賬戶號碼、出生日期、賬戶創建日期以及客戶在 ASOS 網站上的搜索記錄，例如「復古翻新」和「ASOS 小個子」。

誰是攻擊幕後黑手

根據 SecurityWeek 和 TechCrunch 的報導，自稱為 Xuanye Group 的一個組織聲稱對此負責，並從新創建的 Telegram 頻道進行操作。根據 SecurityWeek 和 TechCrunch，在一條發送給 ASOS 數據保護官和 IT 團隊的信息中，該組織聲稱已入侵公司的 Snowflake 實例，並警告稱「與我們互動，否則我們將泄露它」。

Infosecurity Magazine 報導稱，研究人員追蹤了與該組織相關的 Telegram 賬戶，該賬戶之前曾使用「JohnCZ」和「Moon Transfers」等名稱與在線遊戲物品交易相關聯，儘管這些早期活動尚未正式與 ASOS 入侵事件聯繫起來。

規模和未知之處

TechCrunch 報導稱，ASOS 大約有 1700 萬名客戶，但公司尚未披露有多少個人賬戶受到泄露影響。根據 SecurityWeek 的報導，ASOS 表示已限制對受影響通知平台的訪問，並正與內部和外部安全專家合作。

該事件引起了人們對零售商用於發送營銷和應用消息的第三方客戶端軟件風險的關注，因為這類系統可以對客戶記錄進行廣泛的訪問，同時又處於公司核心基礎設施之外。

給客戶的建議

• 根據 Malwarebytes，客戶應謹慎對待引用泄露事件的意外電子郵件、短信或應用消息，不應點擊其中的鏈接。
• Malwarebytes 建議只通過官方應用或網站訪問 ASOS，而不是通過消息中發送的鏈接。
• Malwarebytes 建議永遠不要與任何與您聯繫的人共享密碼或一次性安全代碼。
• Malwarebytes 建議警惕使用您的姓名或地址等泄露細節顯得可信的網絡釣魚嘗試。