Asos confirme une violation de données suite à des notifications non autorisées adressées aux clients
Le détaillant de mode britannique Asos a confirmé une violation de données affectant les informations personnelles de ses clients, des hackers ayant utilisé l’application de l’entreprise pour notifier les utilisateurs du compromis. Ces hackers ont fait usage d’une notification non autorisée pour contraindre la société à interagir avec eux, menaçant de divulguer les données si leurs exigences n’étaient pas satisfaites.
Dans un dépôt auprès de la Bourse de Londres, Asos a révélé que des hackers avaient accédé à une plateforme tierce responsable des communications avec les clients. Les données compromises comprendraient des noms, des coordonnées, des adresses domiciliaires, des numéros de téléphone et des adresses électroniques, ainsi que des notes de profil clients telles que des requêtes de recherche.
Selon des rapports, les hackers ont envoyé des notifications adressées au délégué à la protection des données d’Asos et à son département informatique, affirmant avoir complètement compromis les données de l’entreprise hébergées sur Snowflake, une plateforme utilisée pour l’analyse de données. La notification avertissait : « Engagez-vous avec nous, sinon nous les diffuserons. » Cette tactique visait à exercer une pression accrue sur Asos pour qu’elle réponde aux hackers.
Les hackers, opérant sous le nom de Xuanye Group, auraient obtenu l’accès en se faisant passer pour un contact de confiance afin d’acquérir des identifiants de connexion. Notamment, Snowflake a déclaré que ses propres systèmes n’avaient pas été piratés. Il reste encore incertain si l’instance d’Asos était protégée par une authentification à plusieurs facteurs ou comment les hackers avaient accédé au système utilisé pour envoyer des notifications dans l’application, généralement géré par un service tiers.
Asos sert environ 17 millions de clients. L’implication du Xuanye Group dans de telles cyberattaques reflète une tendance croissante à utiliser des tactiques d’ingénierie sociale pour pénétrer les systèmes d’entreprise. Plus tôt cette année, la société fintech Betterment a été confrontée à un défi similaire, où des hackers ont exploité une plateforme de marketing tierce pour se faire passer pour l’entreprise et distribuer des notifications frauduleuses.
Cet incident souligne les risques persistants auxquels sont confrontées les entreprises s’appuyant sur des services tiers pour la gestion des données et la communication avec les clients. Asos n’a pas divulgué combien de données clients auraient pu être compromises lors de cette violation.
