Asos a maintenant informé ses clients que des pirates sont en possession de profils détaillés appartenant à potentiellement des millions d'utilisateurs de la boutique en ligne. Cette mise à jour n'est arrivée qu'après que BBC News a poliment informé le détaillant que des cybercriminels l'avaient contacté pour dire que la violation de cette semaine allait quelque peu au-delà des « coordonnées de base » qu'Asos avait précédemment suggéré avoir pu être consultées.

Donc, pour être clair : les noms, adresses, numéros de téléphone, e-mails et numéros clients sont désormais entre les mains de cybercriminels. Tout comme les recherches effectuées par les clients sur le site. Des termes comme « reclaimed vintage », « glamorous wide fit » et « Asos petite » sont visibles dans les données. Oui, votre historique de navigation nocturne est maintenant la munition de phishing de quelqu'un.

Avec ces informations, les escrocs peuvent être en mesure de concevoir des e-mails ou des appels téléphoniques d'hameçonnage puissants. Le risque pour les individus est désormais plus élevé, et les clients sont avertis des risques d'usurpation d'identité.

Dans son e-mail aux clients, Asos a confirmé que des profils de données avaient été pris mais a déclaré qu'aucune coordonnée bancaire ni mot de passe n'avait été consulté. « Veuillez rester prudent face aux messages ou appels inattendus prétendant venir d'Asos », a-t-il déclaré. « Nous ne vous demanderons jamais de partager des mots de passe, des codes de sécurité ou des détails de paiement via un message ou un appel non sollicité. » L'entreprise n'a pas répondu aux questions sur l'ampleur de la violation, ce qui est une façon de gérer les choses.

Le piratage très médiatisé a fait les gros titres mondiaux mardi lorsque des cybercriminels ont utilisé le propre système d'application d'Asos pour envoyer une notification pop-up à potentiellement des millions de personnes. Plus tard ce jour-là, l'entreprise a confirmé aux actionnaires via la Bourse de Londres que la pop-up avait été envoyée par un « tiers non autorisé » et que « des informations personnelles de base, y compris le nom et les coordonnées, pourraient avoir été consultées ». L'entreprise a ensuite envoyé un e-mail aux clients avec une formulation similaire.

Mercredi soir, les cybercriminels responsables ont contacté la BBC en partageant un échantillon des données volées qui montrait la véritable étendue du piratage. La BBC a retardé la publication de cet article pour permettre à Asos de contacter ses clients en premier, ce qui est plus de courtoisie que ce que les pirates ont montré.

Asos a déclaré qu'il enquêtait toujours sur la façon dont le piratage s'est produit. Il a dit aux clients que les pirates « ont accédé à un compte d'employé Asos en usurpant l'identité d'un contact de confiance pour obtenir des identifiants de connexion ». Avec cette connexion à un service non nommé, les pirates ont pu télécharger les données clients.

Dans la notification pop-up envoyée aux clients par les pirates, ils ont affirmé avoir « compromis l'instance Snowflake ». Snowflake est une populaire société de stockage et d'analyse de données dont les clients ont été victimes de violations dans le passé en raison de connexions non autorisées. Les cybercriminels, se faisant appeler Xuanyewen, ont affirmé à la BBC avoir utilisé une plateforme construite nativement au-dessus de Snowflake - appelée Simon AI - pour accéder aux données. Simon AI a été contacté pour commentaire. Snowflake a précédemment déclaré que sa plateforme n'avait pas été compromise.

Asos a déclaré que les clients ne sont pas invités à prendre des mesures. Mais les experts en cybersécurité ont averti les utilisateurs de changer leurs mots de passe par précaution et d'être vigilants face à toute activité suspecte.

Asos a déclaré que son site Web et son application sont sûrs à utiliser et que « nous savons que nos clients nous font confiance avec leurs informations ». « Nous prenons cette responsabilité au sérieux et avons déjà pris des mesures supplémentaires pour renforcer davantage les contrôles de sécurité », a-t-il déclaré. Ce qui est rassurant, si légèrement tardif.