Comment la fuite s'est déroulée

ASOS a indiqué jeudi qu'un tiers non autorisé avait accédé à un compte d'employé d'ASOS en usurpant l'identité d'un contact de confiance afin d'obtenir des identifiants de connexion. Ces identifiants ont ensuite servi à atteindre des informations hébergées sur des plateformes tierces utilisées par le distributeur. Dans l'e-mail envoyé à ses clients jeudi matin, ASOS précise avoir mené une enquête détaillée au cours des 48 dernières heures. L'entreprise dit travailler avec les autorités répressives et réglementaires compétentes et avoir déjà pris des mesures supplémentaires pour renforcer ses contrôles de sécurité.

Les plateformes concernées ont été immédiatement verrouillées, empêchant tout accès à d'autres informations.

— ASOS

Quelles données ont été exposées

ASOS indique que l'attaquant a eu accès à certaines données personnelles, notamment des noms et des coordonnées, ainsi qu'à ce qu'elle appelle « certaines informations non personnelles liées au compte », sans préciser de quoi il s'agissait. Aucune information de carte bancaire ni aucun mot de passe de compte n'a été consulté, selon l'entreprise. Des cybercriminels ayant contacté BBC News affirment que la fuite couvre également des adresses, des numéros de téléphone, des adresses e-mail et des numéros de client. Le nombre de clients concernés aux Pays-Bas n'est pas encore connu. ASOS indique qu'elle contactera directement les clients une fois son enquête terminée, lorsque des informations, un accompagnement ou des mesures supplémentaires pourraient être nécessaires.

La notification de mardi

Des milliers d'utilisateurs de l'application ont reçu mardi matin une notification push intitulée « Asos hacked », renvoyant vers un compte Telegram. Le message, adressé à « Dear ASOS DPO and IT », indiquait que les pirates avaient « entièrement compromis » l'instance Snowflake, et se terminait par « Engagez le dialogue avec nous, sinon nous divulguerons les données ». Le groupe se fait appeler Xuanye Group ; des experts en cybersécurité ont indiqué ne pas le connaître et estimé que la notification push pourrait viser à attirer l'attention. Le canal Telegram a assuré aux clients que « les informations de paiement ne sont pas concernées ». Les pirates n'ont pas indiqué l'ampleur des données qu'ils détiennent. ASOS compte 17 millions de clients, selon son site internet.

Fuite ASOS : chronologie de la communication aux clients
  1. La notification push « Asos hacked » parvient aux utilisateurs de l'application, avec un lien vers un compte Telegram
  2. ASOS envoie un e-mail aux clients confirmant qu'un tiers non autorisé a accédé à des données personnelles

Réaction du marché et réponse de Snowflake

L'action ASOS a chuté d'environ 10 % après la notification de mardi. Jeudi, elle a progressé de 3 %, ramenant les pertes de la semaine à 8 %. Snowflake a déclaré n'avoir « constaté aucune compromission » de sa plateforme après avoir ouvert une enquête sur la notification. Cette déclaration contredit l'affirmation des pirates selon laquelle l'instance Snowflake aurait été entièrement compromise.

Un schéma d'attaques plus large

Les opérations d'ingénierie sociale, dans lesquelles des pirates se font passer pour des salariés afin d'accéder aux réseaux informatiques d'entreprises, sont courantes. Les entreprises et institutions britanniques sont de plus en plus touchées par des cyberattaques et des attaques par rançongiciel agressives et régulières ces dernières années. La British Library, un service de dépistage sanguin, le métro de Londres, Marks & Spencer, le Co-op et Jaguar Land Rover ont tous subi des mois de perturbations dues à de telles intrusions. ASOS rejoint désormais la liste des organisations britanniques ayant révélé une fuite cette année.