サイバーセキュリティの専門家が「厚かましい」そして「極めて深刻」と評する動きで、ハッカーたちは火曜日の朝、Asosアプリのユーザーに「ASOS HACKED」と書かれたプッシュ通知を送信することに成功した。このメッセージは、同社のデータ保護責任者とITチーム宛てで、受信者に彼らのSnowflakeインスタンスが「完全に侵害された」ことを伝え、データを漏洩されたくなければTelegramチャンネルを通じて対応するよう要求していた。なぜなら、アパレルアプリの通知システムを身代金要求メモとして使うことほど「我々はプロだ」と示すものはないからだ。

数十人の顧客がBBCに対し、英国時間午前10時頃にこの驚くべきメッセージを受け取ったと語り、一部はアプリを開くのが「怖い」と感じたと述べた。エディンバラのアナリスト、ジョディさんは最初、これを風変わりなプロモーションだと思った。「最初は広告か、『ASOS HACKED 期間限定で全品50%オフ』みたいな楽しいプロモーションだと思った」と彼女は言う。「でもメッセージの残りを読んで、広告ではなくITへのメッセージだと明らかだった」。シェフィールド大学の学生エリンさんは、自分の銀行情報、自宅住所、電話番号が漏洩したのではないかと懸念を表明し、侵害の範囲に疑問を呈した。「通知を受け取らなかった顧客も影響を受けているのか？Asosはあらゆる面でひどい」。

Asosは火曜日の午後、「不正な顧客通知」を認め、第三者のプラットフォームに関わる「不正活動」を調査中だと述べた。同社は一部の「基本的な個人情報」がアクセスされた可能性があるが、支払いカード情報やアカウントのパスワードは影響を受けていないと考えている。火曜日の夜、顧客へのメールでAsosは謝罪し、通知に対応しないよう促し、ウェブサイトとアプリは「通常通り稼働」しており、調査が続く間も顧客は「安心して買い物できる」と約束した。同社はまだ、侵害について英国のデータ監視機関である情報コミッショナー事務局（ICO）に通知していない。

影響を受けた顧客の正確な数は不明だが、ASOSアプリはAndroidだけで1000万回以上ダウンロードされており、この英国の小売業者は年間約1700万人の顧客に150以上の市場でサービスを提供しているため、潜在的な範囲は重大だ。オーストラリア、フランス、スウェーデン、アイルランド共和国からの報告は、通知が英国に限定されていないことを示している。同社の株価は火曜日に約10分の1下落した。なぜなら、「安心して買い物を」と言うことほど、株価下落を示すものはないからだ。

サイバーセキュリティ企業Check Pointのエンタープライズ責任者シャーロット・ウィルソン氏は、この攻撃を「極めて深刻」で「厚かましい」と呼び、ハッカーが明らかに「Asos自身のアプリを身代金要求メモに変えた」と指摘した。彼女は顧客に対し「怖がったり恐れたり」しないよう助言したが、パスワードを変更し、通知のリンクをクリックせず、可能性のある詐欺メールやテキストに注意するよう促した。国家サイバーセキュリティセンターはAsosに支援を申し出ている。

Snowflakeのツールは数十社がデータの収集、分析、保存に使用しており、同社はBBCに対し調査は進行中だが、これまでのところ自社プラットフォームの「侵害はない」と述べた。しかし、同社のサービスは近年、多くの注目を集めるデータ侵害の対象となっている。サイバーセキュリティ専門家のジェン・エリス氏は、Snowflakeが分析のために複数のソースからデータを収集しており、Asosのような「巨大な」企業は人々が世界的にどのように買い物をするかについて大量のデータを持っていると指摘した。サイバーセキュリティ企業Horizon3のダン・バード氏は、Asosのアプリユーザーにプッシュ通知を送るには、攻撃者が侵害したと主張するSnowflakeデータプラットフォームとは別の、同社の通知システムへのアクセスが必要だと指摘した。「両方の主張が正しければ、攻撃者が複数のドアを開ける認証情報を手に入れたことを示唆する」と彼は言う。

この事件は、サイバー攻撃の歴史における重要な瞬間として記憶されるかもしれない。なぜなら、潜在的な被害者に圧力をかけるために顧客に通知するハッカーは稀であり、ほとんどの恐喝は非公開で行われるからだ。