Британский ритейлер ASOS объявил об утечке персональных данных клиентов после того, как злоумышленники воспользовались приложением компании для отправки пользователям уведомления о якобы взломе. По информации, указанной в подаче на Лондонской фондовой бирже, хакеры получили доступ к данным на сторонней платформе, которую ASOS использует для связи с покупателями, и после этого у кражи оказались имена и контактные данные клиентов.

BBC News уточняет, что украденный архив может включать домашние адреса, номера телефонов и адреса электронной почты, а также заметки к профилям клиентов, например их поисковые запросы на сайте. Это свидетельствует о том, что речь идёт не только о базовых реквизитах, но и о дополнительных данных, связанных с интересами пользователей.

Хакеры отправили через приложение «несанкционированное уведомление клиента», и публикация такого уведомления в соцсетях подтвердила факт обращения злоумышленников. В сообщении упоминается сотрудник по защите данных и ИТ-отдел, а также заявление о полном «компрометировании» данных, размещённых в Snowflake, сервисе, который позволяет работать с большими массивами данных.

По данным источников, злоумышленники пытались оказать давление на ASOS через механизм уведомлений приложения, требуя сотрудничества под угрозой публикации украденной информации. Также неясно, как именно хакеры получили доступ к системе рассылки уведомлений внутри приложения, и не известно, применяла ли Snowflake многофакторную защиту в инстансе ASOS; остаётся неопределённым и вопрос о том, каким образом злоумышленники взломали инфраструктуру ASOS для отправки уведомлений.

Известно, что действующие под именем Xuanye Group злоумышленники не раскрывают объём добытых данных. По данным официального сайта ASOS, у компании около 17 миллионов клиентов.