Asos heeft zijn klanten nu laten weten dat hackers in het bezit zijn van gedetailleerde profielen van mogelijk miljoenen gebruikers van de online winkel. Deze update kwam pas nadat BBC News de retailer vriendelijk had geïnformeerd dat cybercriminelen contact hadden opgenomen om te zeggen dat de inbreuk van deze week toch iets verder ging dan de "basiscontactgegevens" waarvan Asos eerder had gesuggereerd dat ze mogelijk waren gecompromitteerd.

Dus, om duidelijk te zijn: namen, adressen, telefoonnummers, e-mails en klantnummers zijn nu in handen van cybercriminelen. Net als de zoekopdrachten die klanten op de website hebben gedaan. Termen als "reclaimed vintage", "glamorous wide fit" en "Asos petite" zijn zichtbaar in de data. Ja, je nachtelijke browsegeschiedenis is nu andermans phishing-munitie.

Met deze informatie kunnen oplichters mogelijk krachtige phishing-e-mails of telefoontjes opstellen. Het risico voor individuen is nu hoger, en klanten worden gewaarschuwd voor mogelijke imitatiefraude.

In zijn e-mail aan klanten bevestigde Asos dat dataprofielen zijn gestolen, maar zei dat er geen bankgegevens of wachtwoorden zijn gecompromitteerd. "Blijf alstublieft waakzaam voor onverwachte berichten of telefoontjes die beweren van Asos te zijn," aldus het bedrijf. "Wij zullen u nooit vragen om wachtwoorden, beveiligingscodes of betaalgegevens te delen via een ongevraagd bericht of telefoontje." Het bedrijf reageerde niet op vragen over de omvang van de inbreuk, wat ook een manier is om dingen aan te pakken.

De spraakmakende hack haalde dinsdag wereldwijd de krantenkoppen toen cybercriminelen het eigen appsysteem van Asos gebruikten om een pop-upmelding naar mogelijk miljoenen mensen te sturen. Later die dag bevestigde het bedrijf aan aandeelhouders via de London Stock Exchange dat de pop-up was verzonden door een "ongeautoriseerde derde partij" en dat "basispersoonsgegevens, waaronder naam en contactgegevens, mogelijk zijn gecompromitteerd." Het bedrijf stuurde vervolgens een e-mail naar klanten met vergelijkbare bewoordingen.

Op woensdagavond namen de verantwoordelijke cybercriminelen contact op met de BBC en deelden een voorbeeld van de gestolen data waaruit de ware omvang van de hack bleek. De BBC hield publicatie van dit artikel tegen om Asos de kans te geven eerst zijn klanten te informeren, wat meer hoffelijkheid is dan de hackers toonden.

Asos zei dat het nog steeds onderzoekt hoe de hack heeft plaatsgevonden. Het vertelde klanten dat hackers "toegang kregen tot een Asos-medewerkersaccount door zich voor te doen als een vertrouwd contact om inloggegevens te verkrijgen." Met die login bij een niet nader genoemde dienst konden de hackers de klantgegevens downloaden.

In de pop-upmelding die de hackers naar klanten stuurden, beweerden ze dat ze "de Snowflake-instantie hadden gecompromitteerd". Snowflake is een populair bedrijf voor gegevensopslag en -analyse waarvan klanten in het verleden zijn getroffen door ongeautoriseerde logins. De cybercriminelen, die zichzelf Xuanyewen noemen, beweerden tegenover de BBC dat ze een platform gebruikten dat native bovenop Snowflake is gebouwd - genaamd Simon AI - om toegang te krijgen tot de gegevens. Simon AI is om commentaar gevraagd. Snowflake heeft eerder gezegd dat zijn platform niet was gecompromitteerd.

Asos zei dat klanten niet wordt gevraagd actie te ondernemen. Maar cyberveiligheidsexperts hebben gebruikers gewaarschuwd om uit voorzorg wachtwoorden te wijzigen en alert te zijn op verdachte activiteiten.

Asos zei dat zijn website en app veilig te gebruiken zijn en "we weten dat onze klanten ons hun informatie toevertrouwen". "We nemen die verantwoordelijkheid serieus en hebben al extra stappen genomen om de beveiligingsmaatregelen verder te versterken," aldus het bedrijf. Wat geruststellend is, zij het enigszins laat.