Asos ha ora informato i suoi clienti che gli hacker sono in possesso di profili dettagliati appartenenti a potenzialmente milioni di utenti del negozio online. Questo aggiornamento è arrivato solo dopo che la BBC News ha gentilmente informato il rivenditore che i criminali informatici si erano fatti avanti per dire che la violazione di questa settimana andava un po' oltre i "dati di contatto di base" che Asos aveva precedentemente suggerito potessero essere stati accessibili.

Quindi, per essere chiari: nomi, indirizzi, numeri di telefono, email e numeri cliente sono ora nelle mani dei criminali informatici. Così come le ricerche che i clienti hanno fatto sul sito web. Termini come "reclaimed vintage", "glamorous wide fit" e "Asos petite" sono visibili nei dati. Sì, la tua cronologia di navigazione notturna è ora la munizione di phishing di qualcuno.

Con queste informazioni, i truffatori potrebbero essere in grado di confezionare potenti email o telefonate di phishing. Il rischio per gli individui è ora più alto, e i clienti vengono avvertiti di potenziali truffe di impersonificazione.

Nella sua email ai clienti, Asos ha confermato che i profili dati sono stati presi ma ha detto che nessun dato bancario o password è stato accesso. "Si prega di rimanere cauti di messaggi o chiamate inaspettate che affermano di essere da Asos", ha detto. "Non ti chiederemo mai di condividere password, codici di sicurezza o dettagli di pagamento attraverso un messaggio o una chiamata non richiesti." L'azienda non ha risposto a domande sulla portata della violazione, che è un modo per gestire le cose.

L'hack ad alto profilo ha fatto notizia in tutto il mondo martedì quando i criminali informatici hanno utilizzato il sistema di app di Asos per inviare una notifica pop-up a potenzialmente milioni di persone. Più tardi quel giorno l'azienda ha confermato agli azionisti tramite la Borsa di Londra che il pop-up è stato inviato da una "terza parte non autorizzata" e "informazioni personali di base tra cui nome e dettagli di contatto potrebbero essere state accessibili". L'azienda ha poi inviato un'email ai clienti con parole simili.

Mercoledì sera i criminali informatici responsabili hanno contattato la BBC condividendo un campione dei dati rubati che mostrava la vera portata dell'hack. La BBC ha ritardato la pubblicazione di questo articolo per consentire ad Asos di contattare prima i suoi clienti, che è più cortesia di quanta ne abbiano mostrata gli hacker.

Asos ha detto che sta ancora indagando su come è avvenuto l'hack. Ha detto ai clienti che gli hacker "hanno ottenuto l'accesso a un account dipendente Asos impersonando un contatto fidato per ottenere le credenziali di accesso". Con quel login a un servizio senza nome, gli hacker sono stati in grado di scaricare i dati dei clienti.

Nella notifica pop-up inviata ai clienti dagli hacker, hanno affermato di aver "compromesso l'istanza Snowflake". Snowflake è una popolare azienda di archiviazione e analisi dati i cui clienti sono stati violati in passato a causa di login non autorizzati. I criminali informatici, che si fanno chiamare Xuanyewen, hanno detto alla BBC di aver utilizzato una piattaforma costruita nativamente sopra Snowflake - chiamata Simon AI - per ottenere l'accesso ai dati. Simon AI è stata contattata per un commento. Snowflake ha precedentemente detto che la sua piattaforma non era stata violata.

Asos ha detto che ai clienti non viene chiesto di intraprendere alcuna azione. Ma gli esperti di sicurezza informatica hanno avvertito gli utenti di cambiare le password come precauzione e di essere all'erta per attività sospette.

Asos ha detto che il suo sito web e l'app sono sicuri da usare e "sappiamo che i nostri clienti ci affidano le loro informazioni". "Prendiamo sul serio questa responsabilità e abbiamo già adottato ulteriori misure per rafforzare ulteriormente i controlli di sicurezza", ha detto. Il che è rassicurante, anche se leggermente tardivo.