ASOS bestätigt Datenpanne, nachdem Hacker unbefugte App-Benachrichtigungen verschickten

ASOS hat unbefugten Zugriff auf Drittanbieterplattformen für die Kundenkommunikation bestätigt, nachdem Angreifer Push-Benachrichtigungen über die mobile App des Unternehmens verschickt hatten. Die ASOS-Datenpanne könnte Namen und Kontaktdaten von Kunden offengelegt haben, obwohl die Zahl der betroffenen Personen weiterhin unbekannt ist.

Der Einzelhändler erklärte, dass er nicht davon ausgeht, dass der Vorfall Zahlungskartendaten oder Kontopasswörter betroffen hat. Allerdings hat das Unternehmen die separate Behauptung der Angreifer, sie hätten seine Snowflake-Umgebung kompromittiert, nicht bestätigt.

Kunden erhalten Benachrichtigungen über die offizielle App

Die unbefugten Benachrichtigungen erschienen erstmals am 6. Oktober gegen 5 Uhr Eastern Time.

Die Nachrichten verkündeten einen Hackerangriff und forderten ASOS auf, die Angreifer zu kontaktieren. Sie drohten außerdem damit, Daten zu veröffentlichen, die angeblich aus der Snowflake-Umgebung des Unternehmens entwendet wurden.

Kunden berichteten, dass sie dieselbe Benachrichtigung auf ihren Smartphones erhalten hatten, was darauf hindeutet, dass die Kampagne mehrere App-Nutzer erreichte. Die verfügbaren Informationen belegen jedoch nicht, wie weit die Angreifer sie verbreiteten.

Die Benachrichtigung enthielt einen Link zu einem Telegram-Kanal, der mit einer Gruppe namens Xuanye in Verbindung steht.

ASOS warnt Nutzer davor, auf die Nachricht zu reagieren

Nach dem Vorfall veröffentlichte ASOS einen Hinweis in seiner App, in dem das Unternehmen erklärte, dass die Push-Benachrichtigung unbefugt versendet worden war.

Das Unternehmen forderte Kunden auf, die Benachrichtigung zu ignorieren und nicht auf den darin enthaltenen externen Link zu klicken oder anderweitig damit zu interagieren.

ASOS bestätigte außerdem, dass sich jemand unbefugt Zugang zu Drittanbieterplattformen verschafft hatte, die das Unternehmen für die Kommunikation mit Kunden nutzt. Nach Angaben des Einzelhändlers könnte der Vorfall grundlegende personenbezogene Daten, darunter Namen und Kontaktdaten, offengelegt haben.

Das Unternehmen hat jedoch nicht bekannt gegeben, wie viele Kunden betroffen sein könnten, oder den vollständigen Umfang des unbefugten Zugriffs erläutert.

Behauptung über Snowflake-Kompromittierung bleibt unbestätigt

Die Angreifer behaupteten, sie hätten die Snowflake-Umgebung von ASOS vollständig kompromittiert und Kundendaten gestohlen. In den gemeldeten Nachrichten legten sie jedoch keine Beweise vor, die diese Behauptung stützen.

In einer späteren Erklärung wiederholten sie, dass der Vorfall Kundendaten betraf, nannten jedoch nicht die Informationen, die angeblich entwendet wurden. Außerdem machten sie keine Angaben zur Anzahl der Datensätze und lieferten keinen überprüfbaren Hinweis auf den behaupteten Zugriff.

Folglich bleiben die bestätigte ASOS-Datenpanne und die angebliche Kompromittierung von Snowflake zwei getrennte Aspekte des Vorfalls. ASOS hat den unbefugten Zugriff auf Kommunikationsplattformen bestätigt, während die weitergehende Darstellung der Angreifer unbestätigt bleibt.

Zahlungsdaten und Passwörter vermutlich nicht betroffen

ASOS erklärte, dass das Unternehmen nicht davon ausgeht, dass Zahlungskartendaten oder Kontopasswörter von dem Vorfall betroffen waren.

Auch die Angreifer behaupteten, dass Zahlungsinformationen nicht betroffen seien. Ihre Aussage bestätigt jedoch weder unabhängig die Einschätzung des Einzelhändlers noch legt sie den Umfang der Datenpanne fest.

Derzeit betreffen die bestätigten Erkenntnisse den unbefugten Zugriff auf Dienste für die Kundenkommunikation und die mögliche Offenlegung von Namen und Kontaktdaten. Die Zahl der betroffenen Kunden, die genauen Daten, auf die zugegriffen wurde, und die Gültigkeit der Snowflake-Behauptung bleiben ungeklärt.