In einem Schritt, den Cybersicherheitsexperten als "dreist" und "zutiefst ernst" bezeichnen, gelang es Hackern am Dienstagmorgen, eine Push-Benachrichtigung an Asos-App-Nutzer zu senden, die "ASOS GEHACKT" lautete. Die Nachricht, adressiert an den Datenschutzbeauftragten und die IT-Teams des Unternehmens, informierte die Empfänger, dass ihre Snowflake-Instanz "vollständig kompromittiert" worden sei, und forderte die Kontaktaufnahme über einen Telegram-Kanal, andernfalls würden die Daten geleakt. Denn nichts sagt "wir sind Profis" wie die Nutzung des Benachrichtigungssystems einer Bekleidungs-App als Lösegeldbrief.

Dutzende Kunden berichteten der BBC, sie hätten die alarmierende Nachricht gegen 10:00 BST erhalten, einige sagten, sie hätten Angst gehabt, die App zu öffnen. Jodie, eine Analystin aus Edinburgh, dachte zunächst, es sei eine schrullige Werbeaktion: "Zuerst dachte ich, es sei eine Anzeige oder eine lustige Aktion wie 'ASOS GEHACKT, 50% Rabatt auf alles, nur für kurze Zeit'", sagte sie. "Dann las ich den Rest der Nachricht, die eindeutig zeigte, dass es keine Werbung war, sondern eine Nachricht an die IT." Erin, eine Studentin an der Universität Sheffield, äußerte Besorgnis über ihre Bankdaten, ihre Privatadresse und ihre Telefonnummer und stellte das Ausmaß des Datenschutzverstoßes in Frage: "Sind alle Kunden betroffen, auch wenn sie die Benachrichtigung nicht erhalten haben? Das ist schlecht von Asos in jeder Hinsicht."

Asos bestätigte am Dienstagnachmittag die "unautorisierte Kundenbenachrichtigung" und erklärte, man untersuche "unautorisierte Aktivitäten" im Zusammenhang mit Drittanbieter-Plattformen. Das Unternehmen gab an, dass einige "grundlegende persönliche Informationen" möglicherweise eingesehen wurden, glaubt jedoch nicht, dass Zahlungskarteninformationen oder Kontopasswörter betroffen sind. In einer E-Mail an die Kunden am Dienstagabend entschuldigte sich Asos und forderte sie auf, nicht auf die Benachrichtigung zu reagieren, und versprach, dass die Website und die App "wie gewohnt funktionieren" und Kunden "mit Vertrauen einkaufen" können, während die Untersuchung andauert. Das Unternehmen hat die britische Datenschutzaufsichtsbehörde, das Information Commissioner's Office (ICO), noch nicht über einen möglichen Datenschutzverstoß informiert.

Die genaue Anzahl der betroffenen Kunden bleibt unklar, doch da die ASOS-App allein auf Android über 10 Millionen Mal heruntergeladen wurde und der britische Einzelhändler jährlich rund 17 Millionen Kunden in mehr als 150 Märkten bedient, ist die potenzielle Reichweite erheblich. Berichte aus Australien, Frankreich, Schweden und der Republik Irland deuten darauf hin, dass die Benachrichtigung nicht auf das Vereinigte Königreich beschränkt war. Die Aktien des Unternehmens fielen am Dienstag um etwa ein Zehntel, denn nichts sagt "mit Vertrauen einkaufen" wie ein Kursrückgang.

Charlotte Wilson, Leiterin des Unternehmensbereichs beim Cybersicherheitsunternehmen Check Point, nannte den Angriff "zutiefst ernst" und "dreist" und bemerkte, die Hacker hätten offenbar "Asos' eigene App in ihren Lösegeldbrief verwandelt". Sie riet Kunden, keine Angst zu haben, sondern Passwörter zu ändern, nicht auf den Link in der Benachrichtigung zu klicken und bei möglichen Betrugs-E-Mails oder -Textnachrichten vorsichtig zu sein. Das National Cyber Security Centre hat Asos Unterstützung angeboten.

Snowflake, dessen Tools von Dutzenden Unternehmen zum Sammeln, Analysieren und Speichern von Daten verwendet werden, teilte der BBC mit, dass die Untersuchung noch läuft, aber bisher "keine Kompromittierung" seiner Plattform festgestellt wurde. Die Dienste des Unternehmens waren jedoch in den letzten Jahren Gegenstand vieler hochkarätiger Datenschutzverstöße. Die Cybersicherheitsexpertin Jen Ellis bemerkte, dass Snowflake Daten aus mehreren Quellen zur Analyse sammelt, und ein "enormes" Unternehmen wie Asos wird viele Daten darüber haben, wie Menschen weltweit einkaufen. Dan Bird von der Cybersicherheitsfirma Horizon3 wies darauf hin, dass das Senden einer Push-Benachrichtigung an die Nutzer der Asos-App Zugriff auf das Benachrichtigungssystem des Unternehmens erfordern würde, das von der Snowflake-Datenplattform, die die Angreifer angeblich kompromittiert haben, getrennt ist. "Wenn beide Behauptungen zutreffen, deutet dies darauf hin, dass die Angreifer Anmeldeinformationen erlangt haben, die mehr als eine Tür geöffnet haben", sagte er.

Der Vorfall könnte als bedeutender Moment in der Geschichte der Cyberangriffe in die Annalen eingehen, da es selten vorkommt, dass Hacker, die Druck auf potenzielle Opfer ausüben wollen, deren Kunden informieren – die meisten Erpressungen finden in privaten Kanälen statt.