ASOS: notificare push neautorizată după furtul de credențiale

Pe 6 octombrie 2026, mulți utilizatori ai aplicației ASOS, retailerul britanic de modă online, au primit o notificare push pe canalul oficial al companiei, dar scrisă de un atacator. Potrivit ASOS, cauza nu este o vulnerabilitate software, ci un atac de inginerie socială asupra unui angajat.

Ce s-a întâmplat

Notificarea era adresată responsabilului cu protecția datelor (DPO) și echipei IT a ASOS: expeditorul susținea că a compromis complet „instanța Snowflake” a companiei și amenința că va publica datele dacă ASOS nu îl contactează. Mesajul trimitea la un canal Telegram al unui grup care își spune Xuanye Group.

În aceeași zi, ASOS a anunțat, inclusiv Bursei din Londra, că investighează o activitate neautorizată pe platforme terțe folosite pentru comunicarea cu clienții și că a restricționat imediat accesul la platformele de notificare. Acțiunile au scăzut cu peste 10%.

Pe 8 octombrie, compania a clarificat ce s-a întâmplat: o persoană neautorizată a obținut acces la contul unui angajat dându-se drept un contact de încredere pentru a obține datele lui de autentificare. Cu aceste credențiale a accesat apoi informații de pe anumite platforme terțe folosite de ASOS, care între timp au fost blocate.

Datele implicate și versiunile divergente

Potrivit actualizării trimise clienților, preluată de BleepingComputer, Infosecurity Magazine și The Record, au fost expuse nume complete, date de contact și anumite informații de cont cu caracter nepersonal. ASOS exclude accesul la datele cardurilor de plată și la parole. Nu a spus câte persoane sunt afectate și nici dacă datele au fost copiate în afara sistemelor; potrivit The Record, investigația va mai dura câteva săptămâni.

Sursele diferă în două puncte:

• Snowflake. Notificarea pomenea Snowflake, dar ASOS nu a numit-o niciodată. Snowflake a declarat că nu a găsit nicio compromitere a platformei sale și că incidentul nu se datorează unor vulnerabilități sau configurări greșite ale serviciului său.
• Amploarea datelor. Potrivit Infosecurity Magazine și The Record, atacatorul a spus BBC că a intrat printr-o instanță Simon AI, o platformă de marketing integrată cu Snowflake, și i-a trimis un eșantion de date. Potrivit BBC, eșantionul conține și adrese, numere de telefon, adrese de email, numere de client și căutări făcute pe site: mai mult decât „datele de contact de bază” indicate inițial de ASOS. Eșantionul nu a fost verificat independent.

Potrivit Group-IB, citată de Infosecurity Magazine, canalul Telegram a fost creat pe 6 octombrie de un cont care folosea în trecut alte nume, legate de comerțul cu obiecte din jocuri. Pentru The Record, numele Xuanye Group nu era cunoscut cercetătorilor; până acum nu a fost publicat niciun eșantion de date.

Detalii tehnice

Nu există CVE: accesul s-a făcut cu credențiale obținute prin înșelăciune. Din ce se știe, schema se încadrează în două tehnici MITRE ATT&CK: Impersonation (T1656), pentru obținerea credențialelor prin uzurparea identității unui contact de încredere, și Valid Accounts (T1078), pentru accesarea platformelor cu credențiale valide. ASOS nu a spus pe ce canal a avut loc înșelăciunea și nici dacă contul era protejat cu autentificare multifactor. Nu există indicatori de compromitere publici în afară de canalul Telegram.

Punctul central este platforma de comunicare cu clienții, administrată de terți: un singur cont a fost suficient pentru a scrie tuturor utilizatorilor aplicației în numele companiei. Așa cum notează Group-IB, trimiterea unei notificări nu dovedește posesia unei baze de date cu clienți; totuși, prejudiciul de imagine și cel bursier au venit înaintea oricărei verificări.

Impactul pentru companiile europene și italiene

Multe companii folosesc platforme SaaS pentru marketing, notificări push, email și SMS către clienți. Aceste platforme conțin date personale și vorbesc în numele companiei cu toți clienții, dar de multe ori sunt administrate de echipa de marketing, în afara controalelor aplicate sistemelor centrale.

Pentru entitățile NIS2 (în Italia, Decretul legislativ 138/2024), securitatea lanțului de aprovizionare, instruirea personalului și autentificarea multifactor se numără printre măsurile obligatorii de gestionare a riscurilor. Potrivit GDPR, accesul neautorizat la datele clienților este o încălcare care trebuie evaluată pentru notificarea autorității de supraveghere în termen de 72 de ore.

În sfârșit, datele de contact expuse fac posibil un phishing credibil: ASOS îi îndeamnă pe clienți să fie atenți la mesajele și apelurile neașteptate în numele său.

Ce să faci acum

1. Fă inventarul platformelor care comunică cu clienții tăi: push, email, SMS, CRM și marketing. Pentru fiecare verifică cine are acces, cu ce permisiuni și cine poate scrie tuturor clienților.
2. Folosește autentificare rezistentă la phishing (chei FIDO2 sau passkey) și adu aceste platforme sub autentificarea unică (single sign-on) a companiei, ca să poți revoca un utilizator dintr-un singur loc.
3. Stabilește proceduri împotriva uzurpării identității: credențialele și codurile nu se dau la cerere, nici măcar colegilor sau furnizorilor cunoscuți; cererea se verifică pe un canal independent, de exemplu sunând înapoi la un număr deja cunoscut. Regula se aplică și helpdesk-ului care resetează parole și MFA.
4. Ține sub control trimiterile în masă: acolo unde platforma permite, cere aprobarea unei a doua persoane pentru campaniile către toți clienții și setează alerte pentru trimiterile în afara programului.
5. Adu jurnalele platformelor SaaS în monitorizarea centrală: autentificări de pe dispozitive sau din țări noi, exporturi de date, chei API noi, modificări de permisiuni.
6. Pregătește planul de răspuns: cum suspenzi rapid notificările, cum revoci sesiunile și tokenurile (nu doar schimbi parola) și cum informezi clienții.

Cum ajută ARXDOME

ARX Expose semnalează conturile companiei implicate în breșe de date și domeniile asemănătoare cu al tău înregistrate de alții, elemente care pot fi folosite pentru a uzurpa identitatea unui contact de încredere. ARX Sentry colectează jurnale și evenimente de pe computere, servere și firewalluri și, în paginile SOC dedicate identităților, arată autentificările, autentificările din timpul nopții și modificările conturilor. ARX Retain păstrează jurnalele pentru ca, în cazul unei investigații, să poți reconstitui ce s-a întâmplat și când.

Ultima actualizare: 8 octombrie 2026