Dans un geste que les experts en cybersécurité qualifient d'« audacieux » et de « profondément grave », des pirates ont réussi à envoyer mardi matin une notification push aux utilisateurs de l'application Asos, qui disait « ASOS HACKED ». Le message, adressé au délégué à la protection des données de l'entreprise et aux équipes informatiques, informait les destinataires que leur instance Snowflake avait été « entièrement compromise » et exigeait un contact via un canal Telegram, sous peine de fuite des données. Parce que rien ne dit « nous sommes des professionnels » comme d'utiliser le système de notification d'une application de vêtements comme une lettre de rançon.

Des dizaines de clients ont déclaré à la BBC avoir reçu le message alarmant vers 10h00 BST, certains affirmant qu'il les avait « effrayés » à l'idée d'ouvrir l'application. Jodie, une analyste d'Édimbourg, a d'abord cru à une promotion originale : « Au début, j'ai pensé que c'était une pub ou une promotion amusante du genre “ASOS HACKED, -50 % sur tout pour une durée limitée”, a-t-elle raconté. Puis j'ai lu le reste du message, qui montrait clairement que ce n'était pas une pub mais un message adressé à l'informatique. » Erin, étudiante à l'université de Sheffield, s'est inquiétée de la compromission de ses informations bancaires, de son adresse personnelle et de son numéro de téléphone, et a remis en question l'ampleur de la faille : « Tous les clients sont-ils touchés, même ceux qui n'ont pas reçu la notification ? C'est nul de la part d'Asos sur tous les plans. »

Asos a reconnu mardi après-midi une « notification client non autorisée », déclarant enquêter sur une « activité non autorisée » impliquant des plateformes tierces. L'entreprise a indiqué que certaines « informations personnelles de base » avaient peut-être été consultées, mais qu'elle ne pensait pas que les données de cartes bancaires ou les mots de passe des comptes aient été compromis. Dans un e-mail envoyé aux clients mardi soir, Asos s'est excusée et a exhorté les destinataires à ne pas interagir avec la notification, promettant que le site web et l'application « fonctionnent normalement » et que les clients peuvent « acheter en toute confiance » pendant que l'enquête se poursuit. L'entreprise n'a pas encore informé le gendarme britannique des données, l'Information Commissioner's Office (ICO), d'une quelconque violation.

Le nombre exact de clients touchés reste flou, mais avec plus de 10 millions de téléchargements de l'application ASOS sur Android seulement, et un détaillant britannique servant environ 17 millions de clients par an dans plus de 150 marchés, la portée potentielle est considérable. Des signalements en provenance d'Australie, de France, de Suède et de République d'Irlande indiquent que la notification ne s'est pas limitée au Royaume-Uni. L'action de l'entreprise a chuté d'environ un dixième mardi, parce que rien ne dit « achetez en toute confiance » comme une baisse en Bourse.

Charlotte Wilson, responsable des entreprises chez le spécialiste de la cybersécurité Check Point, a qualifié l'attaque de « profondément grave » et d'« audacieuse », notant que les pirates avaient apparemment « transformé l'application d'Asos en lettre de rançon ». Elle a conseillé aux clients de ne pas être « effrayés », mais de changer leurs mots de passe, d'éviter de cliquer sur le lien de la notification et de se méfier d'éventuels e-mails ou SMS frauduleux. Le National Cyber Security Centre a proposé son aide à Asos.

Snowflake, dont les outils sont utilisés par des dizaines d'entreprises pour collecter, analyser et stocker des données, a déclaré à la BBC que son enquête était en cours mais n'avait jusqu'ici révélé « aucune compromission » de sa plateforme. Cependant, les services de l'entreprise ont fait l'objet de nombreuses violations de données très médiatisées ces dernières années. L'experte en cybersécurité Jen Ellis a noté que Snowflake collecte des données de multiples sources pour analyse, et qu'une entreprise « énorme » comme Asos disposera de nombreuses données sur la façon dont les gens achètent dans le monde. Dan Bird, de la société de cybersécurité Horizon3, a souligné que l'envoi d'une notification push aux utilisateurs de l'application Asos nécessiterait un accès au système de notification de l'entreprise, distinct de la plateforme de données Snowflake que les attaquants prétendent avoir compromise. « Si les deux affirmations tiennent, cela suggère que les attaquants ont mis la main sur des identifiants qui ont ouvert plus d'une porte », a-t-il déclaré.

L'incident pourrait marquer un moment important dans l'histoire des cyberattaques, car il est rare que des pirates cherchant à faire pression sur des victimes potentielles informent leurs clients — la plupart des extorsions se déroulent en privé.