Asos piraté : les hackers envoient une notification de chantage directement dans l'appli
Le géant britannique de la mode en ligne confirme un vol de données clients après qu'un message menaçant a été envoyé via sa propre application. Un prestataire a été compromis par ingénierie sociale.
Les clients d’Asos ont reçu une notification pour le moins inhabituelle sur leur téléphone. Le message, envoyé via le système de notifications push de l’application, ne vantait pas une promo : il s’adressait au délégué à la protection des données et au service informatique d’Asos, affirmait que les données de l’entreprise étaient « fully compromised » et lançait un ultimatum : « Engage with us, or we will leak it » (« Discutez avec nous, ou nous publions tout »).
Le 8 octobre 2026, Asos a confirmé dans un communiqué à la Bourse de Londres que des données clients avaient bien été volées.
Comment les pirates sont entrés
Asos n’a pas été piraté directement. Les attaquants ont visé une plateforme tierce qui héberge les données utilisées pour communiquer avec les clients, une instance Snowflake. Selon BleepingComputer, ils auraient usurpé l’identité d’un contact de confiance pour obtenir des identifiants. Snowflake assure que ses propres systèmes n’ont pas été compromis. Reste une question clé : cet accès était-il protégé par une authentification multifacteur ?
Ce qui a été volé
Selon Asos et la BBC :
- noms et coordonnées ;
- adresses postales, numéros de téléphone et adresses e-mail ;
- des notes de profil client, comme les recherches effectuées sur le site.
Asos n’a pas donné le nombre de clients concernés. L’enseigne revendique 17 millions de clients. Le groupe à l’origine de l’attaque se fait appeler Xuanye Group.
Si vous êtes client
Les données volées sont idéales pour l’hameçonnage ciblé : faux suivis de commande, faux remboursements, faux « problème de paiement ». Ne cliquez sur aucun lien reçu par SMS ou e-mail au nom d’Asos : passez toujours par l’application ou le site officiel.