In una mossa che gli esperti di sicurezza informatica definiscono "sfacciata" e "estremamente grave", gli hacker sono riusciti a inviare martedì mattina una notifica push agli utenti dell'app Asos che recitava "ASOS HACKED". Il messaggio, indirizzato al responsabile della protezione dei dati e ai team IT dell'azienda, informava i destinatari che la loro istanza Snowflake era stata "completamente compromessa" e richiedeva un contatto tramite un canale Telegram, pena la fuga dei dati. Perché nulla dice "siamo professionisti" come usare il sistema di notifiche di un'app di abbigliamento come una richiesta di riscatto.

Decine di clienti hanno riferito alla BBC di aver ricevuto il messaggio allarmante intorno alle 10:00 BST, e alcuni hanno detto che li ha lasciati "spaventati" all'idea di aprire l'app. Jodie, un'analista di Edimburgo, inizialmente ha pensato a una promozione bizzarra: "All'inizio ho pensato fosse una pubblicità o una promozione divertente tipo 'ASOS HACKED, sconto del 50% su tutto per tempo limitato'", ha detto. "Poi ho letto il resto del messaggio che chiaramente non era una pubblicità, ma un messaggio per l'IT". Erin, studentessa all'Università di Sheffield, si è detta preoccupata per le sue informazioni bancarie, l'indirizzo di casa e il numero di telefono compromessi, e ha messo in dubbio la portata della violazione: "Sono tutti i clienti colpiti anche se non hanno ricevuto la notifica? È una pessima gestione da parte di Asos su tutti i fronti".

Asos ha riconosciuto la "notifica non autorizzata ai clienti" martedì pomeriggio, dichiarando di stare indagando su "attività non autorizzate" che coinvolgono piattaforme di terze parti. L'azienda ha affermato che alcune "informazioni personali di base" potrebbero essere state accessibili, ma non ritiene che i dati delle carte di pagamento o le password degli account siano stati compromessi. In un'email ai clienti martedì sera, Asos si è scusata e ha esortato a non interagire con la notifica, promettendo che il sito web e l'app "funzionano come al solito" e che i clienti possono "fare acquisti con fiducia" mentre l'indagine continua. L'azienda non ha ancora informato l'autorità britannica per la protezione dei dati, l'Information Commissioner's Office (ICO), di alcuna violazione.

Il numero esatto di clienti colpiti rimane poco chiaro, ma con l'app ASOS scaricata oltre 10 milioni di volte solo su Android, e il rivenditore britannico che serve circa 17 milioni di clienti all'anno in più di 150 mercati, la portata potenziale è significativa. Rapporti da Australia, Francia, Svezia e Repubblica d'Irlanda indicano che la notifica non è stata limitata al Regno Unito. Le azioni della società sono scese di circa un decimo martedì, perché nulla dice "fai acquisti con fiducia" come un calo azionario.

Charlotte Wilson, responsabile enterprise della società di cybersicurezza Check Point, ha definito l'attacco "estremamente grave" e "sfacciato", osservando che gli hacker avevano apparentemente "trasformato l'app di Asos nella loro richiesta di riscatto". Ha consigliato ai clienti di non essere "spaventati e impauriti", ma di cambiare le password, evitare di cliccare sul link della notifica e prestare attenzione a possibili email o SMS fraudolenti. Il National Cyber Security Centre ha offerto assistenza ad Asos.

Snowflake, i cui strumenti sono utilizzati da decine di aziende per raccogliere, analizzare e conservare dati, ha detto alla BBC che la sua indagine è in corso ma finora non ha trovato "alcuna compromissione" della sua piattaforma. Tuttavia, i servizi della società sono stati oggetto di molte violazioni di dati di alto profilo negli ultimi anni. L'esperta di cybersicurezza Jen Ellis ha osservato che Snowflake raccoglie dati da più fonti per l'analisi, e un'azienda "enorme" come Asos avrà moltissimi dati su come le persone fanno acquisti a livello globale. Dan Bird, della società di cybersicurezza Horizon3, ha sottolineato che inviare una notifica push agli utenti dell'app di Asos richiederebbe l'accesso al sistema di notifiche dell'azienda, che è separato dalla piattaforma dati Snowflake che gli aggressori affermano di aver compromesso. "Se entrambe le affermazioni sono vere, suggerisce che gli aggressori hanno ottenuto credenziali che hanno aperto più di una porta", ha detto.

L'incidente potrebbe passare alla storia come un momento significativo nella storia degli attacchi informatici, poiché è raro che gli hacker cerchino di aumentare la pressione sulle potenziali vittime informando i loro clienti: la maggior parte delle estorsioni avviene in privato.