In een zet die cyberveiligheidsexperts "brutaal" en "uiterst ernstig" noemen, slaagden hackers er dinsdagochtend in om een pushmelding naar gebruikers van de Asos-app te sturen met de tekst "ASOS HACKED". Het bericht, gericht aan de functionaris gegevensbescherming en IT-teams van het bedrijf, informeerde ontvangers dat hun Snowflake-instantie "volledig gecompromitteerd" was en eiste contact via een Telegram-kanaal, op straffe van het lekken van de data. Want niets zegt "we zijn professionals" zoals het meldingssysteem van een kledingapp gebruiken als losgeldbrief.

Tientallen klanten vertelden de BBC dat ze het alarmerende bericht rond 10:00 BST ontvingen, waarbij sommigen zeiden dat ze "bang" waren om de app te openen. Jodie, een analist uit Edinburgh, dacht eerst dat het een grappige promotie was: "Eerst dacht ik dat het een advertentie of een leuke actie was zoals 'ASOS HACKED krijg 50% korting op alles, alleen voor korte tijd,'" zei ze. "Toen las ik de rest van het bericht, waaruit duidelijk bleek dat het geen advertentie was, maar een bericht aan IT." Erin, een studente aan de Universiteit van Sheffield, uitte haar bezorgdheid over haar bankgegevens, huisadres en telefoonnummer die mogelijk waren gecompromitteerd, en vroeg zich af hoe groot het datalek was: "Zijn alle klanten getroffen, zelfs als ze de melding niet hebben gekregen? Het is slecht van Asos op alle fronten."

Asos erkende dinsdagmiddag de "ongeautoriseerde klantmelding" en verklaarde dat het onderzoek deed naar "ongeautoriseerde activiteit" met betrekking tot platforms van derden. Het bedrijf zei dat sommige "basis persoonlijke informatie" mogelijk was ingezien, maar dat het niet gelooft dat betalingskaartgegevens of accountwachtwoorden zijn getroffen. In een e-mail aan klanten op dinsdagavond verontschuldigde Asos zich en drong er bij hen op aan niet op de melding te reageren, met de belofte dat de website en app "gewoon werken" en dat klanten "met vertrouwen kunnen winkelen" terwijl het onderzoek voortduurt. Het bedrijf heeft de Britse gegevenswaakhond, het Information Commissioner's Office (ICO), nog niet op de hoogte gesteld van een mogelijk datalek.

Het exacte aantal getroffen klanten blijft onduidelijk, maar met de ASOS-app die alleen al op Android meer dan 10 miljoen keer is gedownload, en de Britse retailer die jaarlijks ongeveer 17 miljoen klanten bedient in meer dan 150 markten, is het potentiële bereik aanzienlijk. Berichten uit Australië, Frankrijk, Zweden en de Republiek Ierland wijzen erop dat de melding niet beperkt bleef tot het Verenigd Koninkrijk. De aandelen van het bedrijf daalden dinsdag met ongeveer een tiende, want niets zegt "winkel met vertrouwen" zoals een koersdaling.

Charlotte Wilson, hoofd enterprise bij cyberbeveiligingsbedrijf Check Point, noemde de aanval "uiterst ernstig" en "brutaal", en merkte op dat de hackers blijkbaar "Asos' eigen app in hun losgeldbrief hadden veranderd". Ze adviseerde klanten niet "bang en angstig" te zijn, maar wachtwoorden te wijzigen, niet op de link in de melding te klikken en voorzichtig te zijn met mogelijke scam-e-mails of -sms'jes. Het National Cyber Security Centre heeft Asos hulp aangeboden.

Snowflake, wiens tools door tientallen bedrijven worden gebruikt om data te verzamelen, analyseren en opslaan, vertelde de BBC dat het onderzoek nog gaande is, maar tot nu toe "geen compromittering" van zijn platform heeft gevonden. De diensten van het bedrijf zijn de afgelopen jaren echter het onderwerp geweest van vele hoogprofiel-datalekken. Cyberveiligheidsexpert Jen Ellis merkte op dat Snowflake data uit meerdere bronnen verzamelt voor analyse, en een "enorm" bedrijf als Asos zal veel data hebben over hoe mensen wereldwijd winkelen. Dan Bird, van cyberbeveiligingsbedrijf Horizon3, wees erop dat het versturen van een pushmelding naar gebruikers van de Asos-app toegang tot het meldingssysteem van het bedrijf zou vereisen, dat losstaat van het Snowflake-dataplatform dat de aanvallers beweren te hebben gecompromitteerd. "Als beide beweringen kloppen, suggereert dat dat de aanvallers inloggegevens hebben bemachtigd die meer dan één deur openden," zei hij.

Het incident kan de geschiedenis ingaan als een belangrijk moment in de geschiedenis van cyberaanvallen, want het is zeldzaam dat hackers die druk willen uitoefenen op potentiële slachtoffers hun klanten informeren - de meeste afpersingen vinden in privé plaats.