ASOS-Hacker erbeuteten Kundensuchanfragen – und die Angaben, um Betrugsversuche glaubwürdig erscheinen zu lassen

Eine Betrugsnachricht, die weiß, wonach Sie gesucht haben, ist schwerer als zufällige Nachrichten abzutun. Genau darin liegt die praktische Gefahr der erweiterten Offenlegung des Datenlecks durch ASOS: Hacker erlangten Kundenprofile, die neben Kontaktmöglichkeiten auch Suchanfragen auf der Website des Händlers enthielten. Zahlungsdaten und Passwörter seien nicht betroffen gewesen, erklärt das Unternehmen. Doch dadurch werden die übrigen Informationen nicht harmlos. ^{2 3}

Bis zum 8. Oktober 2026 hatte ASOS Kunden darüber informiert, dass Hacker über detaillierte Profile verfügten, die möglicherweise Millionen Nutzer betrafen. Laut BBC enthielt eine von einem Angreifer bereitgestellte Stichprobe Namen, Adressen, Telefonnummern, E-Mail-Adressen, Kundennummern und Website-Suchanfragen. ASOS hat nicht offengelegt, wie viele Personen betroffen waren, wie viele Profile entwendet wurden oder wie viele Daten heruntergeladen wurden. „Möglicherweise Millionen“ bezeichnet eine mögliche Größenordnung, nicht eine bestätigte Gesamtzahl der Betroffenen. ²

Zu den gemeldeten Suchanfragen gehörten „reclaimed vintage“, „glamorous wide fit“ und „Asos petite“. Werden ein Interesse und eine E-Mail-Adresse oder Telefonnummer miteinander verknüpft, könnte eine betrügerische Kontaktaufnahme einen glaubwürdigen Bezug zu einem Einkauf herstellen. Das ist ein Risiko, das sich aus den offengelegten Informationen ergibt – kein Beleg dafür, dass ein bestimmter Kunde betrogen oder die Daten öffentlich veröffentlicht wurden. Die Suchbeispiele stammen aus einem BBC-Bericht, den The Guardian übernommen hat. ^{2 3}

Die Stichprobe belegt weder, welche Inhalte jedes Profil aufwies, noch den Umfang des gesamten Datensatzes. In der eigenen Mitteilung nennt ASOS Namen, Kontaktdaten und „bestimmte nicht personenbezogene kontobezogene Informationen“ als betroffen, ohne die letztgenannte Kategorie vollständig zu definieren. Die vollständige E-Mail an die Kunden und der Datensatz standen keiner unabhängigen Prüfung zur Verfügung. Dennoch ist die ausführlichere Darstellung eine wesentliche Aktualisierung gegenüber der ersten Warnung des Unternehmens, wonach grundlegende personenbezogene Daten betroffen sein könnten. ^{2 3}

Dutzende Empfänger teilten der BBC mit, die Benachrichtigung erhalten zu haben; das ist jedoch keine Gesamtzahl der Empfänger. SBS berichtete, dass die Nachricht auf Telefonen in Australien einging und somit nicht auf Großbritannien beschränkt war. Der Zeitpunkt ihres Eingangs belegt auch nicht, wann der Zugriff oder der Download begann. In den Berichten vom 6. bis 7. Oktober hieß es, die ASOS-App und die Website funktionierten normal; die Verfügbarkeit des Einkaufsangebots und der Schutz von Kundeninformationen sind zwei unterschiedliche Fragen. ^{1 4}

ASOS zufolge gab sich ein Angreifer als vertrauenswürdiger Kontakt aus, um die Zugangsdaten für das Konto eines Mitarbeiters zu erlangen, und nutzte diese anschließend für den Zugriff auf Informationen auf Drittanbieterplattformen. Ein nicht näher benannter Dienst wurde zum Herunterladen von Kundendaten genutzt. Dies ist eine Darstellung des Diebstahls von Zugangsdaten durch Täuschung – keine Feststellung einer technischen Schwachstelle in der zugrunde liegenden Datenplattform. Welche Dienste betroffen waren, welche Berechtigungen das Konto hatte und in welchem Zeitraum der Zugriff erfolgte, wurde nicht offengelegt. ^{2 3}

In der Benachrichtigung hieß es: „Wir haben die Snowflake-Instanz vollständig kompromittiert.“ Snowflake erklärte, die Untersuchung laufe noch und habe bislang keine Kompromittierung der eigenen Plattform ergeben. Cyberkriminelle, die den Namen Xuanyewen verwendeten, teilten der BBC unabhängig davon mit, über Simon AI auf Informationen zugegriffen zu haben, eine als auf Snowflake aufgebaute Plattform beschriebene Lösung. Dieser konkrete Zugriffsweg ist nicht unabhängig bestätigt worden. ^{1 2}

Eine mit ASOS verbundene Instanz, ein auf Snowflake aufgebauter Dienst und die zugrunde liegende Snowflake-Plattform sind nicht dasselbe. Gestohlene Zugangsdaten können den Zugang zu einer Kundenumgebung ermöglichen, ohne zu belegen, dass der Infrastrukturanbieter selbst gehackt wurde. Die verfügbaren Erkenntnisse klären nicht, auf welche Umgebung zugegriffen wurde. Die erpresserische Drohung in der Benachrichtigung belegt auch weder eine bestätigte Lösegeldsumme noch eine Zahlung. ^{1 2}

Eine von Infosecurity berichtete Untersuchung von Group-IB brachte das Konto des Telegram-Kanals xuanyewengateway, das in der Benachrichtigung auftauchte, mit früheren Handelsaktivitäten mit Gaming-Gegenständen in Verbindung. OSINTsights unterschied zwischen der Gründung des Kanals am 6. Oktober und der älteren Online-Aktivität seines Administrators. Dies ist eine Verbindung anhand der Kontohistorie, keine Identifizierung eines realen Angreifers – und auch kein Beweis dafür, dass der Kanalbetreiber, der Absender der Benachrichtigung und der Datendieb dieselbe Person waren. ^{23 39}

Laut dem Bericht von Cybernews vom 7. Oktober hatten Forscher keine geleakten Dateien oder Stichproben gefunden, die den Besitz von ASOS-Kundendaten belegten. Die Offenlegung vom 8. Oktober und die Untersuchung einer Stichprobe durch die BBC erweitern die zuvor verfügbare Beweislage. Sie bestätigen jedoch nicht die konkrete Behauptung, Snowflake sei vollständig kompromittiert worden. ^{26 2}

In den jüngsten Mitteilungen erklärt ASOS, dass Zahlungskartendaten, Bankdaten und Kontopasswörter nicht betroffen waren. Das ist eine eindeutigere Aussage als die erste Einschätzung, wonach Karten und Passwörter vermutlich nicht betroffen waren. ASOS teilte Kunden mit, dass sie nichts unternehmen müssten, warnte sie aber vor unaufgeforderten Kontaktaufnahmen. Der Cybersicherheitsexperte Trevor Dearing empfahl unabhängig davon, vorsorglich Passwörter zu ändern und auf verdächtige Aktivitäten zu achten. Diese Empfehlung ist kein Beleg dafür, dass ASOS-Passwörter gestohlen wurden. ^{1 2 3}

Die am 6. Oktober veröffentlichte BBC-Empfehlung lautete, Kunden sollten die nicht autorisierte Push-Benachrichtigung ignorieren und nicht darauf reagieren; die Nachricht enthielt einen externen Link. Später berichtete Skint Dad über den Rat des NCSC, von einer Offenlegung auszugehen, selbst wenn man die Benachrichtigung nicht erhalten habe. Der genaue Wortlaut war in der verfügbaren NCSC-Originalquelle nicht zu sehen, und eine vorsorgliche Empfehlung bedeutet nicht, dass nachweislich auf die Daten aller Kunden zugegriffen wurde. ^{21 14 9}

Die Einbindung von Aufsichtsbehörden ist weiter fortgeschritten, ihr formeller Status bleibt jedoch unklar. Laut einem BBC-Bericht vom 6. Oktober hatte ASOS die Information Commissioner’s Office (ICO) bis dahin nicht informiert. Am 7. Oktober nahm das ICO öffentlich die Sorgen der Kunden zur Kenntnis und riet zu Vorsicht bei Links und Anhängen. Bis zum 8. Oktober erklärte ASOS, mit Strafverfolgungsbehörden und Aufsichtsbehörden zusammenzuarbeiten. Weder aus der verfügbaren Stellungnahme des ICO noch aus dieser Beschreibung des Unternehmens geht hervor, wann eine formelle Meldung des Datenlecks einging; es gibt hier keine belastbare Feststellung, dass ASOS eine Meldefrist versäumt hat. ^{1 6 3}

Die Reichweite des Händlers macht die fehlende Zahl bedeutsam, kann sie aber nicht ersetzen. Der erste Bericht nannte mehr als 10 Millionen Downloads der Android-App, rund 17 Millionen Kunden pro Jahr und mehr als 150 Märkte. Downloads sind kumulierte Installationen, keine Zahl betroffener Personen; jährliche Kundenzahlen und Märkte beschreiben die Unternehmensgröße, nicht das Ausmaß des Datenlecks. ¹

Anleger reagierten deutlich, doch die gemeldeten Prozentwerte sind nicht einheitlich. BBC News beschrieb am 6. Oktober einen Rückgang von rund einem Zehntel an jenem Dienstag. FRANCE 24 English meldete am selben Abend einen maximalen Tagesverlust von 12% und einen Schlusskursverlust von 7%. SBS News berichtete am 7. Oktober von einem Rückgang um 10% über Nacht. BBC und SBS nannten weder genaue Beobachtungszeitpunkte noch Vergleichskurse; Veränderungen im Tagesverlauf und zum Handelsschluss sind unterschiedliche Messgrößen. ^{1 5 4}

Die historischen Kursdaten der FT weisen für den 6. Oktober einen Schlusskurs von 454.00p und ein Tagestief von 426.50p aus. Verglichen mit dem von Daily Political gemeldeten vorherigen Schlusskurs von 502.00p entsprechen diese Werte Rückgängen von 9.56% beziehungsweise 15.04% – andere Zahlen als die von FRANCE 24. Diese Berechnungen sind vorläufig, da der verfügbare FT-Auszug den Kurs des Vortags nicht enthielt. Shattered.io bezifferte den Rückgang im Tagesverlauf separat auf bis zu 13.2% und den Kurs auf 439p; dieser lag über dem verzeichneten Tagestief. Es gibt keine gesicherten Belege dafür, dass die gesamte Tagesbewegung ausschließlich auf das Datenleck zurückzuführen war. ^{33 31 5 29}

Die zentrale Frage lautet nicht mehr, ob es sich lediglich um eine Störung des Benachrichtigungssystems handelte. Kundenprofile wurden entwendet. Offen ist, wessen Profile betroffen waren – und den Kunden fehlt weiterhin eine verlässliche Aufstellung dazu, welche ihrer eigenen Daten offengelegt wurden.

BBC News lieferte den ersten Bericht zur Benachrichtigung ¹, die erweiterte Berichterstattung zu den Profilen ², die RSS-Version ⁷, den Bericht auf BBC.com zur Benachrichtigung ²⁴, die Live-Berichterstattung ^{12 25} und Hinweise für Kunden ²¹. The Guardian veröffentlichte die Kundenmitteilung in seiner Live-Berichterstattung aus der Wirtschaft ³. SBS News ⁴ und FRANCE 24 English ⁵ lieferten Fernsehberichte.

Zu den offiziellen Quellen gehörten die Stellungnahme des ICO zu ASOS ⁶, die über Investegate veröffentlichte Mitteilung von ASOS ⁸ sowie die NCSC-Seite zum Vorfall ⁹ und das zugehörige PDF ¹⁰. Weitere Berichte zum Vorfall veröffentlichten BleepingComputer ¹¹, Drapers ¹³, der Irish Independent ¹⁵, Retail Insight Network ¹⁸, SecurityWeek ¹⁹ und die Daily Mail ²⁰.

Ratschläge für Kunden und weitere Berichterstattung boten Skint Dad ¹⁴, ALLATRA Media ¹⁷ sowie The Independent mit einem Leitfaden zum Schutz ¹⁶, einem ausführlicheren Bericht zum Datenleck ²², einem Bericht über den Diebstahl von Zugangsdaten ³⁷ und einer Erklärung zur Benachrichtigung ⁴¹. Cybernews veröffentlichte seine frühere Einschätzung der Beweislage ²⁶.

Berichte zur Kontohistorie stammten von Infosecuritys Untersuchung des Telegram-Kanals ²³, OSINTsights ³⁹ und Tech Debrief ⁴⁰. Weitere Berichte über die Benachrichtigung veröffentlichten Infosecurity ³⁸, Forbes ³² und The Paypers ⁴².

Zu den Quellen für die Marktentwicklung gehörten die historischen Kursdaten der FT ³³, Daily Political ³¹, Shattered.io ²⁹, Global Banking & Finance Review ²⁷, Sharecast ²⁸, AskTraders ³⁰, FashionNetwork ³⁴, die Seite mit historischen Kursdaten von Investors Chronicle ³⁵ und The Sunday Guardian ³⁶.