La cyberattaque ASOS a été révélée le 6 octobre 2026, lorsque des milliers de clients du détaillant de mode en ligne britannique ont reçu une notification push frauduleuse envoyée depuis sa propre application. Le message revendiquait la compromission d'une instance Snowflake liée à ASOS et menaçait de divulguer des données si l'entreprise n'entrait pas en contact avec les attaquants. ASOS a confirmé l'accès non autorisé à des plateformes tierces utilisées pour communiquer avec ses clients, tout en précisant qu'aucune preuve ne confirme à ce jour le vol effectif de données bancaires ou de mots de passe.
Que s'est-il passé pendant la cyberattaque ASOS ?
Vers 10 heures le 6 octobre 2026, de nombreux utilisateurs de l'application ASOS ont reçu une notification push inhabituelle. Le message, adressé explicitement au délégué à la protection des données et à l'équipe informatique de l'entreprise, affirmait qu'une instance Snowflake associée à ASOS avait été « entièrement compromise » et se terminait par une mise en demeure : engager le dialogue avec les attaquants ou voir les données publiées. La notification renvoyait vers un canal Telegram tenu par un groupe se présentant sous le nom Xuanye group.
Selon TechCrunch et BleepingComputer, ASOS a confirmé l'incident dans une déclaration à la Bourse de Londres, évoquant un « accès non autorisé à des plateformes tierces » utilisées pour la communication avec les clients. L'action ASOS a perdu plus de 10 % en bourse le jour même de la diffusion de la notification.
À retenir : l'attaque n'a pas visé les serveurs d'ASOS directement, mais un canal de communication client (notifications push) relié à un prestataire tiers. Un attaquant qui détourne un canal de confiance peut créer de la panique et de la défiance sans avoir nécessairement accès aux données les plus sensibles.
Confirmé ou simplement revendiqué ?
Il est important de distinguer ce qu'ASOS a confirmé de ce que les attaquants revendiquent sans preuve vérifiée :
| Élément | Statut |
|---|---|
| Accès non autorisé à une plateforme tierce de communication client | Confirmé par ASOS |
| Noms et coordonnées (adresses postales, e-mails, téléphones) potentiellement accédés | Confirmé par ASOS comme possible |
| Compromission effective de l'instance Snowflake | Revendiquée par le groupe Xuanye, non confirmée par ASOS ni par Snowflake |
| Vol de données bancaires ou de mots de passe | ASOS indique n'avoir aucune preuve que ces données aient été affectées |
| Volume exact de comptes concernés | Non communiqué ; ASOS revendique environ 17 millions de clients au total |
Snowflake a indiqué que ses propres systèmes n'avaient pas été compromis, ce qui oriente l'hypothèse vers un accès obtenu au niveau d'un compte ou d'une intégration tierce plutôt qu'une faille de la plateforme elle-même. Les attaquants n'ont fourni aucune preuve technique de l'intrusion revendiquée, et BleepingComputer précise n'avoir pas engagé de contact ni versé de rançon, conformément à sa politique éditoriale.
Comment les attaquants ont-ils procédé ?
Le mécanisme précis d'intrusion initiale n'a pas été confirmé publiquement par ASOS. Ce qui est établi, c'est le canal utilisé pour la pression exercée : les notifications push de l'application ASOS, normalement pilotées par des outils marketing connectés à des plateformes de données client. ASOS a indiqué avoir immédiatement restreint l'accès aux plateformes de notification concernées après la découverte de l'incident, et avoir fait appel à des experts externes ainsi qu'aux autorités compétentes.
Pourquoi un canal marketing peut-il devenir un vecteur de pression ?
Les plateformes qui envoient des notifications, e-mails ou messages personnalisés aux clients reposent souvent sur des intégrations entre un entrepôt de données (comme Snowflake), un outil de personnalisation marketing et un service d'envoi. Un attaquant qui obtient un accès, même limité, à l'une de ces briques peut détourner un canal que les clients considèrent comme fiable pour diffuser un message, sans nécessairement avoir accès à l'ensemble des bases de données de l'entreprise. C'est ce qui explique qu'ASOS puisse confirmer un accès non autorisé tout en excluant, en l'état actuel de son enquête, la compromission des moyens de paiement.
Comment se protéger si vous êtes client ASOS ?
- Ne cliquez sur aucun lien reçu via une notification, un SMS ou un e-mail prétendant provenir d'ASOS au sujet de cet incident : vérifiez toute information directement sur le site officiel ou l'application, sans passer par un lien transmis. En cas de doute sur un lien reçu, un décodeur de lien suspect permet d'en vérifier la destination réelle avant de cliquer.
- Restez vigilant face au phishing ciblé dans les semaines qui suivent : vos coordonnées ont pu être exposées, ce qui suffit à rendre crédible un message usurpant ASOS ou un organisme administratif.
- Changez votre mot de passe par précaution, même si ASOS n'a signalé aucune preuve de compromission des mots de passe, avec un générateur de mot de passe robuste, surtout si vous le réutilisez sur d'autres services.
- Activez la double authentification sur votre compte ASOS si l'option est disponible, et sur tout service où vous réutilisez les mêmes identifiants.
- Surveillez vos relevés bancaires par prudence, même si rien n'indique à ce stade que les données de paiement ont été touchées.
Cet incident illustre un schéma déjà observé lors d'autres fuites touchant des entreprises ayant recours à des prestataires tiers pour gérer leurs données clients, comme le détaille notre article sur la cyberattaque Legalstart, où une faille dans un outil interne avait permis l'exfiltration de données personnelles. Le cas de la fuite des IBAN de l'ASP montre également comment un prestataire ou un intermédiaire technique peut devenir le point faible d'une chaîne par ailleurs bien sécurisée.
Plus largement, la multiplication des intégrations entre plateformes cloud et outils marketing, évoquée dans notre article sur le LLMjacking et le vol d'identifiants IA, rappelle l'intérêt de limiter au strict nécessaire les droits accordés à chaque intégration tierce connectée à des données clients.
Points clés
- ASOS a confirmé un accès non autorisé à des plateformes tierces utilisées pour communiquer avec ses clients, après une notification push frauduleuse envoyée le 6 octobre 2026.
- Les attaquants, se présentant comme le « Xuanye group », revendiquent la compromission d'une instance Snowflake liée à ASOS, mais n'ont fourni aucune preuve technique vérifiée.
- ASOS confirme un accès possible aux noms et coordonnées de contact, et indique n'avoir aucune preuve d'un vol de mots de passe ou de données bancaires.
- Snowflake affirme que ses propres systèmes n'ont pas été compromis, ce qui oriente vers un accès via un compte ou une intégration tierce.
- Les clients ASOS doivent rester vigilants face au phishing, éviter de cliquer sur les liens reçus via l'incident, et envisager de changer leur mot de passe par précaution.