Asosは現在、ハッカーがオンラインストアの潜在的に数百万人のユーザーの詳細なプロファイルを入手していることを顧客に通知した。この更新は、BBCニュースが小売業者に丁寧に知らせた後に初めて届いた。今週の侵害は、Asosが以前にアクセスされた可能性があると示唆していた「基本的な連絡先情報」をいくらか超えていると、サイバー犯罪者が連絡してきたのだ。

つまり、はっきり言うと、名前、住所、電話番号、メールアドレス、顧客番号が今やサイバー犯罪者の手に渡っている。顧客がウェブサイトで行った検索も同様だ。「リクレイムド・ヴィンテージ」、「グラマラス・ワイドフィット」、「Asosプチ」といった用語がデータ内で見られる。そう、あなたの深夜の閲覧履歴は今や誰かのフィッシングの弾薬なのだ。

この情報を使って、詐欺師は強力なフィッシング攻撃メールや電話を作成できるかもしれない。個人へのリスクは今や高まっており、顧客はなりすまし詐欺の可能性について警告されている。

顧客へのメールで、Asosはデータプロファイルが取得されたことを認めたが、銀行の詳細やパスワードはアクセスされなかったと述べた。「Asosからだと主張する予期しないメッセージや電話には注意してください」と述べた。「私たちは、未承諾のメッセージや電話を通じてパスワード、セキュリティコード、支払い詳細を共有するよう求めることは決してありません。」同社は侵害の規模に関する質問には答えなかった。これも一つの対処法だ。

この注目度の高いハッキングは火曜日、サイバー犯罪者がAsos自身のアプリシステムを使って潜在的に数百万人にポップアップ通知を送信したことで世界的な見出しとなった。同日後半、同社はロンドン証券取引所を通じて株主に対し、ポップアップは「無許可の第三者」によって送信され、「名前や連絡先詳細を含む基本的な個人情報がアクセスされた可能性がある」と確認した。その後、同社は同様の文言で顧客にメールを送った。

水曜日の夜、責任あるサイバー犯罪者がBBCに連絡し、盗まれたデータのサンプルを共有した。それはハッキングの真の範囲を示していた。BBCはAsosが最初に顧客に連絡できるよう、この記事の公開を控えた。これはハッカーが示した以上の礼儀である。

Asosはハッキングがどのように起こったかまだ調査中だと述べた。顧客に対し、ハッカーは「信頼できる連絡先になりすましてログイン資格情報を取得し、Asos従業員アカウントにアクセスした」と伝えた。その名前のないサービスへのログインで、ハッカーは顧客データをダウンロードできた。

ハッカーが顧客に送ったポップアップ通知で、彼らは「Snowflakeインスタンスを侵害した」と主張した。Snowflakeは人気のあるデータストレージおよび分析企業であり、その顧客は過去に無許可のログインにより侵害されたことがある。自らをXuanyewenと名乗るサイバー犯罪者は、BBCに対し、Snowflake上にネイティブに構築されたプラットフォームであるSimon AIを使ってデータにアクセスしたと主張した。Simon AIはコメントを求められている。Snowflakeは以前、そのプラットフォームは侵害されていないと述べていた。

Asosは顧客に何らかの行動を取るよう求めていないと述べた。しかしサイバーセキュリティの専門家は、ユーザーに予防策としてパスワードを変更し、不審な活動に警戒するよう警告している。

Asosは自社のウェブサイトとアプリは安全に使用でき、「私たちは顧客が情報を私たちに信頼してくれていることを知っています」と述べた。「私たちはその責任を真剣に受け止め、セキュリティ管理をさらに強化するための追加措置をすでに講じています」と述べた。これは安心させるが、少し遅ればせながらではある。