ASOS bestätigt Datenleck nach gehackten Push-Benachrichtigungen

ASOS bestätigte am Dienstag ein Datenleck, nachdem unbekannte Täter unautorisierte Push-Benachrichtigungen über die mobile App des Unternehmens verschickten, während sie behaupteten, Kundendaten aus der Snowflake-Umgebung des Unternehmens gestohlen zu haben. Das Unternehmen ist ein britischer Online-Modehändler, der weltweit Kleidung, Schuhe, Accessoires und Beauty-Produkte vertreibt. ASOS erklärte, dass externe Plattformen, die zur Kundenkommunikation genutzt werden, ohne Genehmigung Zugriff erhielten und dass grundlegende persönliche Daten wie Namen und Kontaktdaten möglicherweise offengelegt wurden. Das Unternehmen zeigte nun im App-Bereich eine Meldung an, in der Kunden aufgefordert werden, die unautorisierte Push-Benachrichtigung zu ignorieren und nicht auf den enthaltenen externen Link einzugehen.

ASOS bestätigte jedoch nicht die Behauptung des Angreifers, dass die Snowflake-Umgebung kompromittiert wurde, und gab an, dass keine Zahlungsdaten oder Passwörter betroffen seien. Die Benachrichtigungen erschienen bereits um 5:00 Uhr ET am Dienstag und erreichten zahlreiche Nutzer, wie aus Berichten von BleepingComputer und Reddit hervorging. Der Angriff wurde mit einer Telegram-Kanal-Adresse des sogenannten „Xuanye Group“ in Verbindung gebracht, die jedoch keine Beweise für den Diebstahl von Kundendaten lieferte. ASOS betonte, dass es keine Hinweise auf eine Verletzung von Zahlungsinformationen oder Kontopasswörtern habe. Die Bedrohungsakteure veröffentlichten später eine „FINAL STATEMENT“, in dem sie behaupteten, Kundendaten gestohlen zu haben, jedoch ohne Details zum Umfang oder zur Art der Daten zu machen.