Что произошло при взломе ASOS?

6 октября 2026 года пользователи приложения британского онлайн-ритейлера одежды ASOS получили на телефоны уведомление с заголовком «ASOS HACKED», адресованное специалисту по защите данных и ИТ-команде компании: «Мы полностью скомпрометировали инстанс Snowflake. Выходите на связь, или мы его сольем». В нем была ссылка на Telegram-канал группы, называющей себя Xuanye Group. ASOS подтвердила, что уведомление было несанкционированным, и заявила, что посторонние лица могли получить доступ к базовой личной информации, включая имена и контактные данные, но, по ее мнению, данные платежных карт и пароли от аккаунтов не пострадали. Если у вас есть аккаунт ASOS, не нажимайте на ссылку, смените пароль, если используете его где-то еще, и в ближайшие дни относитесь с подозрением к любым сообщениям, якобы отправленным от имени ASOS.

Что ASOS подтвердила, а что нет

В заявлении компании было три пункта:

  • Источник: несанкционированная активность, связанная со сторонними платформами, которые ASOS использует для общения с клиентами. Компания немедленно ограничила доступ к своим платформам уведомлений и работает со специализированными консультантами и профильными ведомствами.
  • Данные под угрозой: имена и контактные данные, но, по текущей оценке, не данные платежных карт и не пароли.
  • Работа сервиса: сайт и приложение работают в обычном режиме. ASOS извинилась перед клиентами по электронной почте и попросила их проигнорировать уведомление и не переходить по ссылке.

Что не раскрыто: сколько человек получили уведомление, сколько записей могло быть похищено и через какую платформу оно было отправлено. Snowflake, облачная платформа для хранения и анализа данных, заявила, что ее расследование не выявило компрометации собственной платформы. Компания по кибербезопасности Sophos сообщила, что группа никогда раньше не упоминалась на хакерских форумах или в других Telegram-каналах. Национальный центр кибербезопасности Великобритании (NCSC) оказывает ASOS помощь.

С финансовой стороны акции ASOS в ходе торгов на Лондонской фондовой бирже упали более чем на 14% и закрылись снижением на 9,56%. Компания сообщила, что у нее есть киберстраховка, включающая покрытие непрерывности бизнеса, и что пока слишком рано оценивать влияние на продажи. Запросы «asos hacked» также появились среди трендовых запросов в Саудовской Аравии в Google Trends, так что это касается и здешних пользователей.

Что делать сейчас, если у вас есть аккаунт ASOS

  • Не нажимайте на ссылку в уведомлении и не связывайтесь с каналом. Это совет самой ASOS.
  • Смените пароль в ASOS и на всех других сайтах, где вы используете тот же пароль.
  • Включите двухэтапную проверку для почты и банковских приложений. NCSC Великобритании называет ее одним из самых эффективных способов защиты онлайн-аккаунтов.
  • Следите за банковской выпиской, чтобы заметить что-либо необычное.
  • Ожидайте фишинга. Имени, номера телефона и адреса электронной почты мошеннику достаточно, чтобы написать убедительное сообщение о «возврате денег» или «сбросе пароля». Заходите в ASOS напрямую через сайт или приложение, а не по ссылке из полученного сообщения.

Получение уведомления не означает, что ваш телефон взломан. Оно было отправлено из систем компании, а не с вашего устройства.

Первый урок для магазинов: ваш канал уведомлений доходит до каждого клиента

Самое опасное в этом инциденте не только данные. Злоумышленники использовали собственную платформу уведомлений магазина, чтобы вывести свою угрозу на экран каждого клиента, и за несколько часов превратили давление на компанию в публичный кризис. Специалисты по безопасности отметили, что для отправки push-уведомления пользователям приложения нужен доступ к системе уведомлений, которая отделена от платформы данных, к которой, по утверждению злоумышленников, они получили доступ. Это значит, что ваши платформы для общения с клиентами, от уведомлений приложения до SMS, электронной почты и WhatsApp, нуждаются в такой же защите, как и ваша база данных:

  • Обязательная двухэтапная проверка для каждого аккаунта, который может отправлять сообщения, включая аккаунты агентств и внешних маркетологов.
  • Отдельное право «отправить всем клиентам», которое есть у очень немногих, в идеале с обязательным подтверждением второго человека.
  • API-ключи этих платформ хранятся в хранилище секретов, а не в коде, регулярно меняются и отзываются сразу, как только сотрудник уходит или заканчивается договор с агентством.
  • Мгновенное оповещение о любой массовой рассылке вне обычного графика.

Второй урок: хранилище данных может пасть из-за одного украденного пароля

Подтвержденных подробностей о том, как злоумышленники проникли в системы ASOS, пока нет. Но есть известный прецедент: в 2024 году Mandiant отслеживала кампанию против аккаунтов клиентов Snowflake, и Mandiant вместе со Snowflake уведомили около 165 организаций, которые могли пострадать. Причиной была не уязвимость платформы. Это были учетные данные, украденные вредоносными программами-инфостилерами с систем, не принадлежавших Snowflake, некоторые из них еще 2020 года, и использованные в аккаунтах без многофакторной аутентификации. Меры защиты несложные:

  • Двухэтапная проверка для каждого пользователя вашей платформы данных и ключи вместо паролей для системных аккаунтов.
  • Доступ только с известных сетевых адресов вашей компании.
  • Не копируйте в аналитическое хранилище больше, чем нужно для анализа. Номера телефонов и адреса электронной почты можно маскировать или заменять токенами.
  • Оповещения о крупных выгрузках и необычных запросах.

Третий урок: напишите план реагирования до инцидента

ASOS в тот же день выпустила заявление, извинилась перед клиентами по электронной почте и раскрыла информацию о своей страховке. Такое не импровизируют в день кризиса. В Саудовской Аравии процедурное руководство Саудовского управления по данным и искусственному интеллекту (SDAIA) об инцидентах с утечкой персональных данных обязывает контролера уведомить компетентный орган в течение 72 часов с момента, когда ему стало известно об инциденте, способном причинить вред данным или людям, которым они принадлежат, и без промедления уведомить затронутых субъектов данных, если им причинен вред. Подготовьтесь заранее: кто принимает решения, кто говорит от имени компании, текст сообщения клиентам и как за несколько минут отключить все каналы рассылки. Подробности читайте в нашем руководстве по Закону о защите персональных данных (PDPL).

Как мы делаем это в Origami

Когда мы создаем магазин или приложение для наших клиентов, мы рассматриваем платформы уведомлений и рассылок как часть поверхности атаки, а не как второстепенный маркетинговый инструмент: строго ограниченные права на отправку, ключи вне кода, журнал каждой рассылки и единый аварийный выключатель для всех каналов. Если ваш магазин уже работает, мы начинаем с короткой проверки: кто сегодня может отправлять сообщения вашим клиентам, куда копируются их данные и есть ли двухэтапная проверка на каждом аккаунте. Вопросы простые, но именно ответы на них отличают тихо локализованный инцидент от уведомления, которое приходит на телефон каждому клиенту. Читайте также основы кибербезопасности для малого и среднего бизнеса.

Источники