ASOS heeft een cyberbeveiligingsincident bevestigd nadat aanvallers ongeautoriseerde toegang kregen tot systemen van derden die worden gebruikt om met klanten te communiceren en een dreigende melding via de officiële mobiele app van de winkel hebben gestuurd.
Het incident werd op 6 oktober openbaar toen klanten onverwacht een pushmelding ontvingen waarin werd beweerd dat ASOS was gehackt. Het bericht was gericht aan de gegevensbeschermingsfunctionaris en het IT-team van het bedrijf en dreigde gestolen informatie te lekken tenzij ASOS contact opnam met de aanvallers.
ASOS bevestigde later dat de melding ongeautoriseerd was en zei dat de toegang tot de getroffen communicatieplatforms onmiddellijk werd beperkt. Het bedrijf werkt samen met interne en externe cybersecurityspecialisten evenals relevante autoriteiten om de volledige omvang van het incident vast te stellen.
Basisinformatie van klanten, waaronder namen en contactgegevens, kan zijn opgevraagd. ASOS gelooft echter momenteel niet dat betaalkaartinformatie of wachtwoorden van klantaccounts zijn gecompromitteerd.
De groep die verantwoordelijkheid opeist, noemt zichzelf Xuanye Group. In de melding beweerden de aanvallers dat ze de Snowflake-omgeving van ASOS volledig hadden gecompromitteerd, maar ASOS heeft die bewering niet bevestigd of bekendgemaakt hoeveel klanten mogelijk zijn getroffen.
Snowflake startte een eigen onderzoek nadat het van het incident hoorde en zei geen bewijs te hebben gevonden dat het platform zelf was gecompromitteerd. Dit laat de mogelijkheid open dat het incident klantspecifieke inloggegevens of een andere externe dienst betrof, in plaats van een beveiligingsfout die Snowflake in bredere zin treft.
ASOS heeft een waarschuwing toegevoegd in zijn app waarin klanten worden opgedragen de ongeautoriseerde melding te negeren en te vermijden interactie met de externe link die erin stond. De retailer vraagt klanten momenteel niet om hun wachtwoorden te wijzigen of andere specifieke maatregelen te nemen.
De website en mobiele app van het bedrijf functioneren nog steeds normaal, en ASOS zegt dat klanten kunnen blijven winkelen. De Britse cybersecurityautoriteiten raden desondanks aan dat ASOS-klanten alert blijven op verdachte e-mails, sms’jes en andere berichten die gebruikmaken van blootgestelde contactgegevens om phishingpogingen overtuigender te maken.
ASOS heeft nog niet bekendgemaakt hoe de aanvallers toegang hebben gekregen tot hun communicatiesystemen of precies bevestigd hoeveel klantinformatie er is blootgesteld. Het onderzoek loopt nog steeds.