Asos bestätigt Datenpanne, nachdem Hacker App-Meldungen gekapert haben

Der Modehändler Asos hat eine Datenpanne bestätigt. Angreifer nutzten die eigene App, um Kunden am 6. Oktober 2026 eine Push-Meldung „ASOS HACKED“ zu schicken. In einer Börsenmitteilung erklärte Asos, Hacker seien in eine Drittplattform eingebrochen, über die das Unternehmen Kunden kontaktiert, berichtete TechCrunch. Namen und Kontaktdaten könnten entwendet worden sein. Der Fall zeigt, wie ein schwacher externer Dienst Angreifern eine direkte Leitung zum Handy jedes Kunden geben kann.

Was Asos bestätigt hat

Asos teilte Anlegern mit, es „untersuche unbefugte Aktivitäten im Zusammenhang mit Drittplattformen, die wir zur Kommunikation mit Kunden nutzen“, berichtet Help Net Security. Die unbefugte Meldung ging am 6. Oktober gegen 10 Uhr raus.

Die Erklärung des Unternehmens, wie von The Register und SecurityWeek wiedergegeben, besagt:

• Grundlegende persönliche Daten, darunter Namen und Kontaktdaten, könnten abgerufen worden sein
• Es geht nicht davon aus, dass Zahlungskartendaten oder Kontopasswörter betroffen waren
• Website und App laufen normal
• Der Zugriff auf die Benachrichtigungsplattformen wurde eingeschränkt
• Es arbeitet mit Fachberatern und „allen zuständigen Behörden“ zusammen

„Wir gehen nicht davon aus, dass Zahlungskartendaten oder Kontopasswörter betroffen waren“, so Asos. Es sei außerdem zu früh, um die Folgen für das Geschäft abzuschätzen. The Register ergänzt, dass Asos eine Cyberversicherung hat.

Asos hat nicht gesagt, wie viele Kunden die Meldung erhielten oder bei wie vielen Daten abgerufen wurden. Die Drittplattform hat das Unternehmen nicht genannt.

Was die Angreifer behaupteten

Die Meldung selbst enthielt eine Drohung. „Dear ASOS DPO and IT, we have fully compromised the Snowflake instance. Engage with us, or we will leak it“, hieß es laut The Register. DPO steht für Datenschutzbeauftragter. Snowflake ist eine Cloud-Datenplattform, in der viele Unternehmen Kundendaten speichern.

Die Meldung verlinkte auf einen Telegram-Kanal einer bisher unbekannten Gruppe, die sich „Xuanye Group“ nennt, berichten SecurityWeek und Help Net Security. Das sind die Worte der Angreifer. The Register merkt an, dass die Nachricht allein nicht beweist, dass sie Snowflake oder sensible Daten erreicht haben.

Snowflake bestreitet ein Problem auf der eigenen Seite. „Derzeit können wir berichten, dass wir keine Kompromittierung der Snowflake-Plattform festgestellt haben“, sagte ein Snowflake-Sprecher gegenüber The Register. Asos selbst erwähnt Snowflake in den Berichten nie.

Was die Presse berichtet hat

Einige Details stammen von Journalisten, nicht von Asos:

• TechCrunch zitiert BBC-Berichte, wonach die gestohlenen Daten auch Wohnadressen, Telefonnummern, E-Mail-Adressen und Notizen in Kundenprofilen enthalten, etwa Suchanfragen auf der Website.
• TechCrunch zitiert Bleeping Computer mit der Aussage, die Angreifer seien durch „Vortäuschen eines vertrauenswürdigen Kontakts, um Zugangsdaten zu erhalten“ eingedrungen. Asos hat das nicht bestätigt.
• The Register schreibt, die Asos-Aktie sei nach den Berichten um etwa 12 Prozent gefallen und habe sich leicht erholt. Eine Quelle für die Zahl nennt es nicht.

SecurityWeek zufolge ist die Methode des ersten Zugriffs unbekannt. Daniel dos Santos von Forescout Research sagte, das Muster könne den Angriffen auf Snowflake-Kunden von 2024 ähneln, bei denen gestohlene Zugangsdaten genutzt wurden. „Dieser jüngste Hack könnte ähnlich sein, auch wenn nicht bestätigt ist, wie der erste Zugriff erfolgte“, sagte er.

Warum eine Push-Meldung wichtig ist

Eine Push-Meldung landet direkt auf dem Sperrbildschirm, mit dem Namen der Marke darauf. Kunden vertrauen ihr. Deshalb nannte Natalie Page von Talion Cyber Security die Nachricht „eine typische Taktik von Erpressergruppen, die oft Medienaufmerksamkeit und Publizität ausnutzen“, berichtet SecurityWeek.

Pieter Arntz von Malwarebytes warnte davor, was die Daten verraten könnten. „Jede Offenlegung könnte ein detailliertes Kundenbild zeigen, von Surf- und Kaufgewohnheiten bis zu Standort und Treuestatus“, zitiert ihn Help Net Security. Alan Snyder von NowSecure sagte, ein kompromittiertes Benachrichtigungssystem „bietet direkten Zugang zu Ihren Kunden im Frontend und zu Ihren Daten im Backend“.

Was das für Entwickler bedeutet

Wenn Ihre App Push-Nachrichten verschickt, gehört die Versandplattform zu Ihrer Angriffsfläche.

• Schützen Sie das Benachrichtigungssystem wie die Produktion. Verlangen Sie Multi-Faktor-Authentifizierung für jedes Konto, das Pushes senden kann, und begrenzen Sie, wer es hat. Asos schränkte nach dem Vorfall den Zugriff auf seine Plattformen ein.
• Bauen Sie einen Freigabeschritt für den Versand ein. Eine Nachricht an die gesamte Nutzerbasis sollte eine zweite Person oder ein Ratenlimit brauchen, bevor sie rausgeht.
• Prüfen Sie jede Datenplattform, die Ihre Marketing-Tools erreichen können. Erfassen Sie, welche Kundenfelder jeder externe Dienst speichert. Namen und Suchanfragen in einem Marketing-Speicher sind weiterhin personenbezogene Daten.
• Rotieren und prüfen Sie Zugangsdaten. Sowohl die Snowflake-Geschichte als auch die Angriffe von 2024 im Hintergrund von The Register deuten auf gestohlene Logins. Rotieren Sie Dienst-Zugangsdaten und prüfen Sie auf vorgetäuschte Support-Anfragen.
• Bereiten Sie die Kundenmitteilung im Voraus vor. Legen Sie fest, wie Sie Nutzern sagen, eine gefälschte Meldung zu ignorieren und keinen Links zu folgen. Genau das hat Asos seinen Kunden gesagt.

Als Nächstes ist zu beobachten, wie viele Kunden betroffen waren, wie Asos sagt. Solange es keine Zahl nennt, bleibt das Ausmaß der Panne unbekannt.