ASOS: notifica push non autorizzata dopo il furto di credenziali

Il 6 ottobre 2026 molti utenti dell’app di ASOS, il rivenditore online di moda britannico, hanno ricevuto una notifica push dal canale ufficiale dell’azienda, ma scritta da un attaccante. Secondo ASOS l’origine non è una vulnerabilità software, ma un attacco di ingegneria sociale contro un dipendente.

Cosa è successo

La notifica era indirizzata al responsabile della protezione dei dati (DPO) e al reparto IT di ASOS: chi scriveva sosteneva di aver compromesso completamente «l’istanza Snowflake» dell’azienda e minacciava di pubblicare i dati se ASOS non lo avesse contattato. Il messaggio rimandava a un canale Telegram di un gruppo che si fa chiamare Xuanye Group.

Lo stesso giorno ASOS ha comunicato, anche alla Borsa di Londra, di indagare su un’attività non autorizzata su piattaforme di terzi usate per comunicare con i clienti e di aver limitato subito l’accesso alle piattaforme di notifica. Il titolo ha perso oltre il 10%.

L’8 ottobre l’azienda ha chiarito la dinamica: un soggetto non autorizzato ha ottenuto l’accesso all’account di un dipendente impersonando un contatto fidato per farsi consegnare le credenziali di accesso. Con quelle credenziali ha poi consultato informazioni su alcune piattaforme di terzi usate da ASOS, che sono state bloccate.

Dati coinvolti e versioni divergenti

Secondo l’aggiornamento inviato ai clienti, riportato da BleepingComputer, Infosecurity Magazine e The Record, sono stati esposti nomi completi, recapiti e alcune informazioni dell’account di natura non personale. ASOS esclude l’accesso ai dati delle carte di pagamento e alle password. Non ha indicato quante persone siano coinvolte né se i dati siano stati copiati fuori dai sistemi; secondo The Record l’indagine durerà ancora alcune settimane.

Le fonti divergono su due punti:

• Snowflake. La notifica citava Snowflake, ma ASOS non l’ha mai nominata. Snowflake ha dichiarato di non aver trovato compromissioni della propria piattaforma e che l’episodio non deriva da vulnerabilità o configurazioni errate del suo servizio.
• Portata dei dati. Secondo Infosecurity Magazine e The Record, l’attaccante ha detto alla BBC di essere passato da un’istanza di Simon AI, piattaforma di marketing integrata con Snowflake, e le ha inviato un campione di dati. Per la BBC il campione comprende anche indirizzi, numeri di telefono, email, numeri cliente e ricerche fatte sul sito: più dei «dati di contatto di base» indicati inizialmente da ASOS. Il campione non risulta verificato in modo indipendente.

Secondo Group-IB, sentita da Infosecurity Magazine, il canale Telegram è stato creato il 6 ottobre da un account che in passato usava altri nomi, legati alla compravendita di oggetti di gioco. Per The Record il nome Xuanye Group non era noto ai ricercatori; finora nessun campione di dati è stato pubblicato.

Dettagli tecnici

Non ci sono CVE: l’ingresso è avvenuto con credenziali ottenute con l’inganno. Con quanto noto, lo schema rientra in due tecniche MITRE ATT&CK: Impersonation (T1656), per farsi consegnare le credenziali fingendosi un contatto fidato, e Valid Accounts (T1078), per entrare nelle piattaforme con credenziali valide. ASOS non ha detto attraverso quale canale sia avvenuto l’inganno né se l’account fosse protetto da autenticazione a più fattori. Non ci sono indicatori di compromissione pubblici oltre al canale Telegram.

Il punto centrale è la piattaforma di comunicazione con i clienti, gestita da terzi: da un solo account è stato possibile scrivere a tutti gli utenti dell’app a nome dell’azienda. Come nota Group-IB, inviare una notifica non prova il possesso di un database di clienti; il danno di reputazione e in borsa, però, è arrivato prima di qualsiasi verifica.

Impatto per le aziende europee e italiane

Molte aziende affidano a piattaforme SaaS il marketing, le notifiche push, le email e gli SMS ai clienti. Queste piattaforme contengono dati personali e parlano a nome dell’azienda con tutta la clientela, ma spesso sono gestite dal marketing, fuori dai controlli applicati ai sistemi centrali.

Per i soggetti NIS2 (in Italia il d.lgs. 138/2024) la sicurezza della catena di approvvigionamento, la formazione del personale e l’autenticazione a più fattori sono tra le misure di gestione del rischio previste. Per il GDPR, un accesso non autorizzato ai dati dei clienti è una violazione da valutare per la notifica all’autorità di controllo entro 72 ore.

Infine, i recapiti esposti permettono phishing credibile: ASOS invita a diffidare di messaggi e chiamate inattesi a suo nome.

Cosa fare subito

1. Fai l’inventario delle piattaforme che parlano ai clienti: push, email, SMS, CRM e marketing. Per ognuna verifica chi ha accesso, con quali permessi e chi può scrivere a tutta la base clienti.
2. Usa un’autenticazione resistente al phishing (chiavi FIDO2 o passkey) e porta queste piattaforme sotto il single sign-on aziendale, così da revocare un utente in un solo punto.
3. Definisci procedure contro l’impersonificazione: credenziali e codici non si consegnano su richiesta, nemmeno a colleghi o fornitori noti; la richiesta si verifica con un canale indipendente, come una richiamata a un numero già in rubrica. Vale anche per l’helpdesk che reimposta password e MFA.
4. Controlla gli invii di massa: dove la piattaforma lo consente, approvazione di una seconda persona per le campagne verso tutti i clienti e avvisi per gli invii fuori orario.
5. Porta i log delle piattaforme SaaS nel monitoraggio centrale: accessi da dispositivi o paesi nuovi, esportazioni di dati, nuove chiavi API, modifiche ai permessi.
6. Prepara il piano di risposta: come sospendere rapidamente le notifiche, revocare sessioni e token (non solo cambiare la password) e informare i clienti.

Come aiuta ARXDOME

ARX Expose segnala gli account aziendali coinvolti in violazioni e i domini simili al tuo registrati da altri, elementi che possono servire a impersonare un contatto fidato. ARX Sentry raccoglie log ed eventi di computer, server e firewall e, nelle pagine del SOC dedicate alle identità, mostra accessi, accessi notturni e modifiche agli account. ARX Retain conserva i log per ricostruire, in caso di indagine, che cosa è successo e quando.

Ultimo aggiornamento: 8 ottobre 2026