Asos confirme une fuite de données après le détournement des alertes de son appli

Le détaillant de mode Asos a confirmé une fuite de données après que des pirates ont utilisé sa propre appli pour envoyer à ses clients une notification push « ASOS HACKED » le 6 octobre 2026. Dans un communiqué boursier, Asos a indiqué que des pirates s’étaient introduits dans une plateforme tierce qu’il utilise pour contacter ses clients, selon TechCrunch. Des noms et des coordonnées ont pu être volés. Ce cas montre qu’un seul service externe fragile peut donner aux pirates une ligne directe vers le téléphone de chaque client.

Ce qu’Asos a confirmé

Asos a déclaré aux investisseurs qu’il « enquête sur une activité non autorisée impliquant des plateformes tierces que nous utilisons pour communiquer avec les clients », rapporte Help Net Security. La notification non autorisée est partie vers 10 h le 6 octobre.

La déclaration de l’entreprise, telle que relayée par The Register et SecurityWeek, indique que :

• des informations personnelles de base, dont des noms et des coordonnées, ont pu être consultées
• elle ne pense pas que les données de cartes de paiement ou les mots de passe de comptes aient été touchés
• le site web et l’appli fonctionnent normalement
• l’accès aux plateformes de notification a été restreint
• elle travaille avec des conseillers spécialisés et « toutes les autorités compétentes »

« Nous ne pensons pas que les données de cartes de paiement ou les mots de passe de comptes aient été touchés », a déclaré Asos. Il a ajouté qu’il est trop tôt pour dire quel sera l’effet sur l’activité. The Register précise qu’Asos dispose d’une cyberassurance.

Asos n’a pas dit combien de clients ont reçu l’alerte ni combien ont vu leurs données consultées. Il n’a pas nommé la plateforme tierce.

Ce que les pirates ont affirmé

La notification elle-même portait une menace. « Dear ASOS DPO and IT, we have fully compromised the Snowflake instance. Engage with us, or we will leak it », disait-elle, selon The Register. DPO désigne le délégué à la protection des données. Snowflake est une plateforme de données dans le cloud que de nombreuses entreprises utilisent pour stocker les données de leurs clients.

L’alerte renvoyait vers un canal Telegram tenu par un groupe jusque-là inconnu qui se fait appeler « Xuanye Group », rapportent SecurityWeek et Help Net Security. Ce sont les propos des pirates. The Register note que le message seul ne prouve pas qu’ils aient atteint Snowflake ni des données sensibles.

Snowflake nie tout problème de son côté. « À ce stade, nous pouvons dire que nous n’avons constaté aucune compromission de la plateforme Snowflake », a déclaré un porte-parole de Snowflake à The Register. Asos, lui, ne mentionne jamais Snowflake dans les articles.

Ce que la presse a rapporté

Certains détails viennent de journalistes, pas d’Asos :

• TechCrunch cite des informations de la BBC selon lesquelles les données volées incluent aussi des adresses personnelles, des numéros de téléphone, des adresses e-mail et des notes sur les profils clients, comme les requêtes de recherche sur le site.
• TechCrunch cite Bleeping Computer, selon qui les pirates sont entrés en « se faisant passer pour un contact de confiance afin d’obtenir des identifiants de connexion ». Asos ne l’a pas confirmé.
• The Register indique que l’action Asos a chuté d’environ 12 % après ces informations, puis a légèrement remonté. Il ne donne aucune source pour ce chiffre.

Selon SecurityWeek, la méthode d’accès initial est inconnue. Daniel dos Santos, de Forescout Research, a dit que le schéma pourrait ressembler aux attaques de 2024 contre des clients de Snowflake, qui reposaient sur des identifiants volés. « Ce piratage récent est peut-être similaire, même si l’on ne sait pas confirmer quel a été l’accès initial », a-t-il dit.

Pourquoi une notification push compte

Une notification push arrive directement sur l’écran de verrouillage, avec le nom de la marque. Les clients lui font confiance. C’est pourquoi Natalie Page, de Talion Cyber Security, a qualifié le message de « tactique typique des groupes d’extorsion, qui exploitent souvent l’attention des médias et la publicité », rapporte SecurityWeek.

Pieter Arntz, de Malwarebytes, a mis en garde sur ce que les données pourraient révéler. « Toute exposition pourrait révéler un portrait détaillé du client, de ses habitudes de navigation et d’achat à sa localisation et son statut de fidélité », le cite Help Net Security. Alan Snyder, de NowSecure, a dit qu’un système de notification compromis « donne un accès direct à vos clients côté front et à vos données côté back ».

Ce que cela signifie pour les développeurs

Si votre appli envoie des notifications push, la plateforme d’envoi fait partie de votre surface d’attaque.

• Protégez le système de notification comme la production. Exigez l’authentification multifacteur pour chaque compte qui peut envoyer des push, et limitez le nombre de personnes qui y ont accès. Asos a restreint l’accès à ses plateformes après l’incident.
• Ajoutez une étape de validation avant l’envoi. Un message destiné à toute la base d’utilisateurs devrait nécessiter une seconde personne, ou une limite de débit, avant de partir.
• Passez en revue chaque plateforme de données que vos outils marketing peuvent atteindre. Cartographiez les champs clients que détient chaque service externe. Des noms et des requêtes de recherche dans un outil marketing restent des données personnelles.
• Faites tourner et auditez les identifiants. L’affaire Snowflake comme les attaques de 2024 rappelées par The Register pointent vers des identifiants volés. Renouvelez les identifiants de service et vérifiez s’il y a des demandes d’assistance usurpées.
• Préparez à l’avance le message aux clients. Décidez comment vous direz aux utilisateurs d’ignorer une fausse alerte et de ne pas suivre les liens. Asos a dit exactement cela à ses clients.

La prochaine chose à surveiller est le nombre de clients touchés qu’Asos annoncera. Tant qu’il ne publie pas de chiffre, l’ampleur de la fuite reste inconnue.