ASOS bekræfter databrud efter hackere sendte uautoriserede appnotifikationer

ASOS har bekræftet uautoriseret adgang til tredjepartsplatforme til kundekommunikation, efter at angribere sendte pushnotifikationer gennem virksomhedens mobilapp. ASOS-databruddet kan have eksponeret kunders navne og kontaktoplysninger, selvom antallet af berørte personer fortsat er ukendt.

Forhandleren sagde, at den ikke mener, at hændelsen påvirkede betalingskortoplysninger eller adgangskoder til konti. Virksomheden har dog ikke bekræftet angribernes separate påstand om, at de kompromitterede dens Snowflake-miljø.

Kunder modtager notifikationer gennem den officielle app

De uautoriserede notifikationer begyndte at dukke op omkring kl. 05.00 Eastern Time den 6. oktober.

Beskederne annoncerede et hackerangreb og krævede, at ASOS kontaktede angriberne. De truede også med at offentliggøre data, som angiveligt var hentet fra virksomhedens Snowflake-miljø.

Kunder rapporterede, at de modtog den samme notifikation på deres telefoner, hvilket indikerer, at kampagnen nåede flere appbrugere. De tilgængelige oplysninger fastslår dog ikke, hvor bredt angriberne distribuerede den.

Notifikationen indeholdt et link til en Telegram-kanal tilknyttet en gruppe, der kalder sig Xuanye.

ASOS advarer brugere om at ignorere beskeden

Efter hændelsen placerede ASOS en meddelelse i sin app, der forklarede, at pushnotifikationen var uautoriseret.

Virksomheden bad kunderne om at ignorere notifikationen og undgå at klikke på eller interagere med det eksterne link, den indeholdt.

ASOS bekræftede også, at nogen uden tilladelse havde fået adgang til tredjepartsplatforme, som virksomheden bruger til at kommunikere med kunder. Ifølge forhandleren kan hændelsen have eksponeret grundlæggende personoplysninger, herunder navne og kontaktoplysninger.

Virksomheden har dog ikke oplyst, hvor mange kunder der kan være berørt, eller beskrevet det fulde omfang af den uautoriserede adgang.

Påstanden om kompromittering af Snowflake er fortsat ubekræftet

Angriberne hævdede, at de fuldstændigt havde kompromitteret ASOS’ Snowflake-miljø og stjålet kundeoplysninger. De fremlagde dog ingen beviser i de rapporterede beskeder, der kunne underbygge denne påstand.

Deres senere udtalelse gentog, at hændelsen involverede kundedata, men identificerede ikke de oplysninger, der angiveligt var blevet stjålet. Den udelod også et antal dataposter eller nogen verificerbar indikation af den påståede adgang.

Derfor forbliver det bekræftede ASOS-databrud og den påståede kompromittering af Snowflake to separate dele af historien. ASOS har bekræftet uautoriseret adgang til kommunikationsplatforme, mens angribernes bredere fremstilling fortsat er ubekræftet.

Betalingsoplysninger og adgangskoder menes ikke at være berørt

ASOS sagde, at virksomheden ikke mener, at betalingskortoplysninger eller adgangskoder til konti var involveret i hændelsen.

Angriberne hævdede også, at betalingsoplysninger ikke var berørt. Deres udtalelse bekræfter dog ikke uafhængigt forhandlerens vurdering eller fastslår omfanget af databruddet.

Indtil videre vedrører de bekræftede oplysninger uautoriseret adgang til tjenester til kundekommunikation og den mulige eksponering af navne og kontaktoplysninger. Antallet af berørte kunder, de præcise oplysninger, der blev tilgået, og gyldigheden af Snowflake-påstanden er fortsat uafklaret.