Asos、ハッカーによるアプリ通知の乗っ取り後に情報漏えいを認める

ファッション小売のAsosは、情報漏えいを認めた。攻撃者が同社自身のアプリを使い、2026年10月6日に顧客へ「ASOS HACKED」というプッシュ通知を送ったのだ。Asosは証券取引所への提出書類で、顧客への連絡に使うサードパーティ基盤にハッカーが侵入したと説明した。TechCrunchが報じた。氏名と連絡先が盗まれた可能性がある。この件は、外部サービスの弱点が1つあるだけで、攻撃者がすべての顧客のスマートフォンに直接つながりうることを示している。

Asosが認めたこと

Asosは投資家に対し、「顧客との連絡に使うサードパーティ基盤に関わる不正な活動を調査している」と述べたと、Help Net Securityは報じている。不正な通知が出たのは10月6日の午前10時ごろだ。

The RegisterとSecurityWeekが伝える同社の声明は、次のとおりである。

• 氏名や連絡先を含む基本的な個人情報にアクセスされた可能性がある
• 決済カード情報やアカウントのパスワードに影響はなかったとみている
• ウェブサイトとアプリは通常どおり動いている
• 通知基盤へのアクセスは制限した
• 専門のアドバイザーおよび「すべての関係当局」と協力している

「決済カード情報やアカウントのパスワードに影響があったとは考えていない」とAsosは述べた。取引への影響を語るのは時期尚早だとも述べている。The Registerによると、Asosはサイバー保険に加入している。

Asosは、通知を受け取った顧客の数も、データにアクセスされた顧客の数も明らかにしていない。サードパーティ基盤の名前も挙げていない。

攻撃者が主張したこと

通知そのものが脅迫文だった。The Registerによると、文面は次のとおりだ。「Dear ASOS DPO and IT, we have fully compromised the Snowflake instance. Engage with us, or we will leak it」。DPOはデータ保護責任者のことだ。Snowflakeは、多くの企業が顧客データの保管に使うクラウドのデータ基盤である。

通知は、「Xuanye Group」を名乗る、これまで知られていなかったグループのTelegramチャンネルにリンクしていたと、SecurityWeekとHelp Net Securityは報じている。これらは攻撃者の言い分として扱うべきだ。The Registerは、このメッセージだけでは、攻撃者がSnowflakeや機密データに到達した証拠にはならないと指摘する。

Snowflakeは、自社側の問題を否定している。「現時点で、Snowflake基盤が侵害された形跡は見つかっていない」と、Snowflakeの広報担当者はThe Registerに語った。Asos自身は、報道のなかでSnowflakeに一切触れていない。

報道で伝えられたこと

一部の詳細は、Asosではなく記者による情報である。

• TechCrunchは、BBCの報道を引いて、盗まれたデータには自宅住所、電話番号、メールアドレス、顧客プロフィール上のメモ（ウェブサイトの検索語など）も含まれると伝えている。
• TechCrunchは、Bleeping Computerの話として、攻撃者は「信頼できる連絡先になりすましてログイン情報を入手」して侵入したと伝えている。Asosはこれを確認していない。
• The Registerによると、報道後にAsosの株価は約12%下落し、わずかに戻した。この数字の出典は示していない。

SecurityWeekによれば、最初の侵入方法は不明だ。Forescout ResearchのDaniel dos Santos氏は、この手口は、盗まれた認証情報が使われた2024年のSnowflake顧客への攻撃に似ている可能性があると述べた。「今回のハッキングも似ているかもしれないが、最初の侵入経路が何だったかは確認されていない」と同氏は語った。

プッシュ通知が重大な理由

プッシュ通知は、ブランド名が付いたままロック画面に直接届く。顧客はそれを信頼する。だからTalion Cyber SecurityのNatalie Page氏は、このメッセージを「メディアの注目や知名度を利用することが多い恐喝グループの典型的な手口」と呼んだと、SecurityWeekは報じている。

MalwarebytesのPieter Arntz氏は、データから何が分かりうるかを警告した。「流出があれば、閲覧や購入の習慣から、所在地、ロイヤルティの会員状況まで、顧客の詳細な姿が見えるおそれがある」と、Help Net Securityは同氏の言葉として伝える。NowSecureのAlan Snyder氏は、侵害された通知システムは「フロントエンドでは顧客に、バックエンドではデータに直接アクセスできる手段になる」と述べた。

開発者にとっての意味

アプリがプッシュ通知を送るなら、送信基盤も攻撃対象領域の一部である。

• 通知システムを本番環境と同じように守ること。 プッシュを送れるすべてのアカウントに多要素認証を求め、権限を持つ人を絞る。Asosも、インシデントの後に基盤へのアクセスを制限した。
• 送信の承認ステップを加えること。 ユーザー全体へのメッセージは、送信前に2人目の承認かレート制限を必要とすべきだ。
• マーケティングツールが届くデータ基盤をすべて見直すこと。 外部サービスごとに、どの顧客項目を保持しているかを洗い出す。マーケティング用のストアにある氏名や検索語も、個人データであることに変わりはない。
• 認証情報をローテーションし、監査すること。 Snowflakeをめぐる件も、The Registerが背景に挙げる2024年の攻撃も、盗まれたログインを指している。サービスの認証情報を更新し、サポートへのなりすまし依頼がないか確認したい。
• 顧客向けの連絡文をあらかじめ用意すること。 不正な通知は無視し、リンクをたどらないよう、ユーザーにどう伝えるかを決めておく。Asosは顧客にまさにそう伝えた。

次に注目すべきは、Asosが影響を受けた顧客の数をどう発表するかだ。数字が公表されるまで、漏えいの規模は分からないままである。