« ASOS hacked » : retour sur le piratage du service client du site e-commerce britannique

L'essentiel de votre hack'tu cybersécurité

• Le 6 octobre 2026, des clients du site e-commerce ASOS ont reçu une notification malveillante sous forme de push « ASOS hacked » sur leur smartphone ; 
• Une cyberattaque via la chaîne d’approvisionnement :  cette notification contenait un message indiquant que l’environnement Snowflake, une plateforme de gestion des données utilisée par ASOS, avait été compromise, renvoyant les clients sur un compte Telegram frauduleux» ; 
• Un impact réputationnel immédiat : l'usage d'une notification malveillante a exercé une pression importante sur la marque, impactant sa réputation et questionnant la gestion de la confidentialité des données clients.   

Compromission de la supply chain : qu’est-ce que Snowflake ?

La plateforme Snowflake est une plateforme Cloud « SaaS » de stockage, de traitement et d’analyse des données. Le site e-commerce ASOS l’utiliserait comme outil de relation client (CRM), notamment pour l’analyse de données comportementales et l’envoi de notifications pushs ⁽²⁾. 

Viser la supply chain d'une entreprise est une tendance majeure pour les hackers : les logiciels qui la composent ont une pénétration parfois très forte dans les systèmes d’information. Ils contiennent des données clients, business et personnelles extrêmement précieuses, qui sont autant de portes d'entrées et de vecteurs de compromission exploitables par les cybercriminels, rappelle Pierre-Yves Amiot, responsable du CERT d’Orange Cyberdefense. 

Le mardi 6 octobre 2026, de nombreux clients d’ASOS ont reçu une notification « ASOS hacked » sur leur smartphone, les invitant à se rendre sur un compte instagram frauduleux, « t.me/xuanyewengateway » du groupe Xuanye, à qui l’on attribue une attaque précédente menée sur les plateformes de jeu en ligne Roblox et Counter-strike⁽³⁾.   Xuanye indique détenir des informations sur les clients d'ASOS, sans présenter de preuves qui permettraient de montrer l'exfiltration. 

Une méthode de double extorsion très « pushy »

Le 9 octobre, une communication de la marque adressée à ses clients, ayant pour objet « Informations sur la notification push ASOS non autorisée », stipulait les informations suivantes :  

• Un tiers a obtenu les identifiants d’un employé en se faisant passer pour un contact de confiance, puis a accédé à des données sur des plateformes utilisées par ASOS ; 
• Des informations personnelles, notamment des noms et coordonnées, ont été consultées, mais pas les données bancaires ni les mots de passe ; 
• ASOS a sécurisé les plateformes et poursuit son enquête ; ses clients sont invités à se méfier des messages ou appels suspects.

Bien que la méthode utilisée ne soit pas nouvelle - les attaquants ont détourné la base des clients d'ASOS – le push auprès des clients représente un moyen de pression supplémentaire, obligeant l’entreprise à réagir dans des délais très courts. Dans ce cas présent, la réactivité de la marque a fait l’objet de critiques et son cours en bourse aurait été immédiatement impacté.  

Ce cas illustre l’importance d’une gouvernance solide en matière de cybersécurité, qui doit s’appliquer également aux fournisseurs. Dans ce cadre, la pleine entrée en vigueur du CRA (Cyber Resilience Act) en décembre 2027 va obliger les fournisseurs de services et d’équipements numériques à sécuriser leurs produits dès leur conception. 

Sources et notes