ASOS hat einen Cybersicherheitsvorfall bestätigt, nachdem Angreifer unbefugten Zugriff auf Drittanbietersysteme zur Kommunikation mit Kunden erhalten und eine bedrohliche Benachrichtigung über die offizielle mobile App des Händlers gesendet haben.
Der Vorfall wurde am 6. Oktober öffentlich, als Kunden eine unerwartete Push-Benachrichtigung erhielten, in der behauptet wurde, ASOS sei gehackt worden. Die Nachricht war an den Datenschutzbeauftragten und das IT-Team des Unternehmens adressiert und drohte, gestohlene Informationen weiterzugeben, falls ASOS die Angreifer nicht kontaktiert.
ASOS bestätigte später, dass die Benachrichtigung unautorisiert war, und erklärte, dass der Zugriff auf die betroffenen Kommunikationsplattformen sofort eingeschränkt wurde. Das Unternehmen arbeitet mit internen und externen Cybersicherheitsspezialisten sowie relevanten Behörden zusammen, um das volle Ausmaß des Vorfalls zu ermitteln.
Grundlegende Kundeninformationen, einschließlich Namen und Kontaktdaten, könnten abgerufen worden sein. ASOS glaubt jedoch derzeit nicht, dass Zahlungskarteninformationen oder Passwörter des Kundenkontos kompromittiert wurden.
Die Gruppe, die die Verantwortung beansprucht, nennt sich Xuanye Group. In ihrer Benachrichtigung behaupteten die Angreifer, sie hätten die Snowflake-Umgebung von ASOS vollständig kompromittiert, aber ASOS hat diese Behauptung nicht bestätigt oder offengelegt, wie viele Kunden betroffen sein könnten.
Snowflake leitete nach Erkenntnissen über den Vorfall eine eigene Untersuchung ein und erklärte, keine Beweise dafür gefunden zu haben, dass die Plattform selbst kompromittiert worden war. Dies lässt die Möglichkeit offen, dass der Vorfall kundenspezifische Zugangsdaten oder einen anderen Drittanbieterdienst betraf und nicht ein Sicherheitsfehler, der Snowflake insgesamt betraf.
ASOS hat in seiner App eine Warnung hinzugefügt, die Kunden auffordert, die unautorisierte Benachrichtigung zu ignorieren und die Interaktion mit dem externen Link zu vermeiden. Der Händler bittet die Kunden derzeit nicht, ihre Passwörter zu ändern oder andere spezifische Maßnahmen zu ergreifen.
Die Website und die mobile App des Unternehmens funktionieren weiterhin normal, und ASOS sagt, dass Kunden weiterhin einkaufen können. Die britischen Cybersicherheitsbehörden empfehlen dennoch, ASOS-Kunden auf verdächtige E-Mails, SMS und andere Nachrichten aufmerksam zu halten, die offengelegte Kontaktinformationen nutzen könnten, um Phishing-Versuche überzeugender zu machen.
ASOS hat bisher nicht bekannt gegeben, wie die Angreifer auf seine Kommunikationssysteme zugegriffen haben oder wie viel Kundeninformationen genau freigegeben wurden. Die Untersuchung läuft weiterhin.