Asos hat nun seine Kunden darüber informiert, dass Hacker im Besitz detaillierter Profile von potenziell Millionen Nutzern des Online-Shops sind. Diese Aktualisierung erfolgte erst, nachdem BBC News den Einzelhändler höflich darüber in Kenntnis gesetzt hatte, dass Cyberkriminelle sich gemeldet hatten, um mitzuteilen, dass die dieswöchige Sicherheitsverletzung etwas über die „grundlegenden Kontaktdaten“ hinausging, die Asos zuvor als möglicherweise kompromittiert angegeben hatte.

Um es klar zu sagen: Namen, Adressen, Telefonnummern, E-Mails und Kundennummern sind jetzt in den Händen von Cyberkriminellen. Ebenso die Suchanfragen, die Kunden auf der Website gemacht haben. Begriffe wie „reclaimed vintage“, „glamorous wide fit“ und „Asos petite“ sind in den Daten sichtbar. Ja, deine nächtliche Browser-Historie ist jetzt jemandes Phishing-Munition.

Mit diesen Informationen könnten Betrüger wirkungsvolle Phishing-Angriffe per E-Mail oder Telefon erstellen. Das Risiko für Einzelpersonen ist nun höher, und Kunden werden vor möglichen Identitätstäuschungsbetrug gewarnt.

In seiner E-Mail an die Kunden bestätigte Asos, dass Datenprofile entwendet wurden, aber sagte, dass keine Bankdaten oder Passwörter abgerufen wurden. „Bitte bleiben Sie wachsam gegenüber unerwarteten Nachrichten oder Anrufen, die vorgeben, von Asos zu sein“, hieß es. „Wir werden Sie niemals auffordern, Passwörter, Sicherheitscodes oder Zahlungsdetails über eine unaufgeforderte Nachricht oder einen Anruf mitzuteilen.“ Das Unternehmen antwortete nicht auf Fragen zum Ausmaß der Sicherheitsverletzung – eine Möglichkeit, mit der Sache umzugehen.

Der hochkarätige Hack machte am Dienstag weltweit Schlagzeilen, als Cyberkriminelle das eigene App-System von Asos nutzten, um eine Pop-up-Benachrichtigung an potenziell Millionen von Menschen zu senden. Später an diesem Tag bestätigte das Unternehmen gegenüber den Aktionären über die Londoner Börse, dass das Pop-up von einem „nicht autorisierten Dritten“ gesendet wurde und „grundlegende persönliche Informationen wie Name und Kontaktdaten möglicherweise abgerufen wurden“. Das Unternehmen sandte dann eine E-Mail mit ähnlichem Wortlaut an die Kunden.

Am Mittwochabend kontaktierten die verantwortlichen Cyberkriminellen die BBC und teilten eine Stichprobe der gestohlenen Daten, die das wahre Ausmaß des Hacks zeigte. Die BBC hielt die Veröffentlichung dieses Artikels zurück, um Asos die Möglichkeit zu geben, zuerst seine Kunden zu kontaktieren – mehr Höflichkeit, als die Hacker zeigten.

Asos sagte, es untersuche noch, wie der Hack passierte. Es teilte den Kunden mit, dass Hacker „Zugang zu einem Asos-Mitarbeiterkonto erlangten, indem sie sich als vertrauenswürdiger Kontakt ausgaben, um Anmeldedaten zu erhalten“. Mit diesem Login bei einem ungenannten Dienst konnten die Hacker die Kundendaten herunterladen.

In der von den Hackern an die Kunden gesendeten Pop-up-Benachrichtigung behaupteten sie, sie hätten „die Snowflake-Instanz kompromittiert“. Snowflake ist ein beliebtes Unternehmen für Datenspeicherung und -analyse, dessen Kunden in der Vergangenheit aufgrund unbefugter Logins kompromittiert wurden. Die Cyberkriminellen, die sich selbst Xuanyewen nennen, behaupteten gegenüber der BBC, sie hätten eine Plattform genutzt, die nativ auf Snowflake aufbaut – genannt Simon AI –, um Zugang zu den Daten zu erhalten. Simon AI wurde um eine Stellungnahme gebeten. Snowflake hatte zuvor erklärt, seine Plattform sei nicht kompromittiert worden.

Asos sagte, die Kunden müssten keine Maßnahmen ergreifen. Aber Cybersicherheitsexperten haben Nutzer gewarnt, vorsorglich Passwörter zu ändern und auf verdächtige Aktivitäten zu achten.

Asos sagte, seine Website und App seien sicher zu nutzen und „wir wissen, dass unsere Kunden uns mit ihren Informationen vertrauen“. „Wir nehmen diese Verantwortung ernst und haben bereits zusätzliche Schritte unternommen, um die Sicherheitskontrollen weiter zu stärken“, hieß es. Was beruhigend ist, wenn auch etwas verspätet.