I ett drag som cybersäkerhetsexperter kallar "fräckt" och "djupt allvarligt" lyckades hackare skicka en pushnotis till Asos appanvändare på tisdagsmorgonen med texten "ASOS HACKED". Meddelandet, som var adresserat till företagets dataskyddsombud och IT-team, informerade mottagarna om att deras Snowflake-instans hade blivit "helt komprometterad" och krävde kontakt via en Telegram-kanal, annars skulle data läcka ut. För inget säger "vi är proffs" som att använda en klädapps notifikationssystem som en lösensedel.

Dussintals kunder berättade för BBC att de fick det alarmerande meddelandet runt 10:00 brittisk tid, och vissa sa att det gjorde dem "rädda" för att öppna appen. Jodie, en analytiker från Edinburgh, trodde först att det var en quirky kampanj: "Först trodde jag att det var en annons eller en rolig kampanj som 'ASOS HACKED få 50% rabatt på allt under begränsad tid'," sa hon. "Sedan läste jag resten av meddelandet som tydligt visade att det inte var en annons utan ett meddelande till IT." Erin, en student vid University of Sheffield, uttryckte oro över att hennes bankinformation, hemadress och telefonnummer kunde vara komprometterade, och ifrågasatte omfattningen av intrånget: "Är alla kunder drabbade även om de inte fick notisen? Det är dåligt av Asos på alla fronter."

Asos bekräftade den "obehöriga kundnotisen" på tisdagseftermiddagen och uppgav att de utreder "obehörig aktivitet" som involverar tredjepartsplattformar. Företaget sa att viss "grundläggande personlig information" kan ha nåtts, men de tror inte att betalkortsuppgifter eller kontolösenord påverkades. I ett e-postmeddelande till kunder på tisdagskvällen bad Asos om ursäkt och uppmanade dem att inte engagera sig i notisen, och lovade att webbplatsen och appen "fungerar som vanligt" och att kunder kan "handla med förtroende" medan utredningen fortsätter. Företaget har ännu inte informerat Storbritanniens datatillsynsmyndighet, Information Commissioner's Office (ICO), om något intrång.

Det exakta antalet drabbade kunder är fortfarande oklart, men med ASOS-appen nedladdad över 10 miljoner gånger bara på Android, och den brittiska återförsäljaren som betjänar cirka 17 miljoner kunder årligen över mer än 150 marknader, är den potentiella räckvidden betydande. Rapporter från Australien, Frankrike, Sverige och Republiken Irland indikerar att notisen inte var begränsad till Storbritannien. Aktierna i företaget föll med cirka en tiondel på tisdagen, för inget säger "handla med förtroende" som en aktiedipp.

Charlotte Wilson, chef för företagslösningar på cybersäkerhetsföretaget Check Point, kallade attacken "djupt allvarlig" och "fräck", och noterade att hackarna uppenbarligen hade "förvandlat Asos egen app till sin lösensedel". Hon rådde kunder att inte vara "rädda och skrämda", utan att byta lösenord, undvika att klicka på notisens länk och vara försiktiga med eventuella bluffmejl eller sms. National Cyber Security Centre har erbjudit Asos hjälp.

Snowflake, vars verktyg används av dussintals företag för att samla in, analysera och lagra data, berättade för BBC att deras utredning pågår men hittills har funnit "ingen kompromettering" av deras plattform. Men företagets tjänster har varit föremål för många uppmärksammade dataintrång de senaste åren. Cybersäkerhetsexperten Jen Ellis noterade att Snowflake samlar in data från flera källor för analys, och ett "enormt" företag som Asos kommer att ha massor av data om hur människor handlar globalt. Dan Bird, från cybersäkerhetsföretaget Horizon3, påpekade att för att skicka en pushnotis till Asos appanvändare skulle kräva tillgång till företagets notifikationssystem, vilket är separat från Snowflake-dataplattformen som angriparna påstår sig ha komprometterat. "Om båda påståendena håller, tyder det på att angriparna fick tag i autentiseringsuppgifter som öppnade mer än en dörr," sa han.

Incidenten kan komma att gå till historien som ett betydelsefullt ögonblick i cyberattackens historia, eftersom hackare som söker öka pressen på potentiella offer genom att informera deras kunder är sällsynt – de flesta utpressningar sker i privata kanaler.