Les pirates d’ASOS ont dérobé des recherches de clients — et les coordonnées permettant de rendre les escroqueries crédibles

Un message frauduleux qui sait ce que vous avez recherché est plus difficile à écarter qu’un message envoyé au hasard. C’est le risque concret que révèle la déclaration élargie d’ASOS sur la violation de données : des pirates ont obtenu des profils clients contenant des moyens de contacter les personnes ainsi que les recherches qu’elles avaient effectuées sur le site du détaillant. Les coordonnées de paiement et les mots de passe n’ont pas été consultés, affirme l’entreprise, mais ces exclusions ne rendent pas les autres informations inoffensives. ^{2 3}

Au 8 octobre 2026, ASOS avait informé ses clients que des pirates détenaient des profils détaillés concernant potentiellement des millions d’utilisateurs. La BBC a rapporté qu’un échantillon fourni par un attaquant contenait des noms, des adresses, des numéros de téléphone, des adresses e-mail, des numéros de client et des recherches effectuées sur le site. ASOS n’a pas indiqué combien de personnes étaient concernées, combien de profils avaient été dérobés ni quelle quantité d’informations avait été téléchargée. « Potentiellement des millions » indique une ampleur possible, et non un total confirmé de personnes touchées. ²

Parmi les recherches rapportées figuraient « reclaimed vintage », « glamorous wide fit » et « Asos petite ». Associé à une adresse e-mail ou à un numéro de téléphone, un centre d’intérêt pourrait rendre une sollicitation frauduleuse crédible en lui donnant un lien convaincant avec les achats de la personne. C’est un risque lié aux informations exposées — et non la preuve qu’un client en particulier a été victime d’une fraude ou que les dossiers ont été rendus publics. Les exemples de recherche proviennent d’un article de la BBC repris par The Guardian. ^{2 3}

L’échantillon ne permet d’établir ni le contenu de chaque profil ni la taille de la collection complète. Dans sa propre déclaration, ASOS indique que des noms, des coordonnées et « certaines informations non personnelles liées aux comptes » ont été consultés, sans définir précisément cette dernière catégorie. L’e-mail complet destiné aux clients et l’ensemble des données n’étaient pas disponibles pour un examen indépendant. Le compte rendu détaillé remplace néanmoins de manière substantielle l’avertissement initial de l’entreprise, selon lequel des informations personnelles de base pourraient avoir été consultées. ^{2 3}

Des dizaines de destinataires ont déclaré à la BBC avoir reçu la notification, mais ce chiffre ne correspond pas au nombre total de destinataires. SBS a rapporté que le message avait été reçu sur des téléphones en Australie, ce qui établit qu’il ne se limitait pas au Royaume-Uni. L’heure de réception ne permet pas non plus d’établir quand l’intrusion ou le téléchargement a commencé. Les comptes rendus des 6 et 7 octobre indiquaient que l’application et le site web d’ASOS fonctionnaient normalement ; la possibilité de faire des achats et la protection des informations clients sont deux questions distinctes. ^{1 4}

Selon ASOS, un attaquant s’est fait passer pour un contact de confiance afin d’obtenir les identifiants de connexion d’un compte d’employé, puis s’en est servi pour consulter des informations sur des plateformes tierces. Un service dont le nom n’a pas été révélé a été utilisé pour télécharger des données clients. Il s’agit d’un récit de vol d’identifiants par usurpation d’identité — et non de la preuve d’une vulnérabilité technique de la plateforme de données elle-même. Les services auxquels l’attaquant a accédé, les autorisations du compte et la période d’accès n’ont pas été communiqués. ^{2 3}

La notification affirmait : « Nous avons entièrement compromis l’instance Snowflake. » Snowflake a indiqué que son enquête était en cours et qu’elle n’avait jusqu’alors révélé aucune compromission de sa plateforme. Des cybercriminels se présentant sous le nom de Xuanyewen ont déclaré séparément à la BBC avoir accédé à des informations par l’intermédiaire de Simon AI, une plateforme décrite comme reposant sur Snowflake. Cette voie d’accès précise n’a pas été établie de manière indépendante. ^{1 2}

Une instance associée à ASOS, un service reposant sur Snowflake et la plateforme sous-jacente de Snowflake sont trois choses distinctes. Des identifiants dérobés peuvent permettre d’accéder à un environnement client sans prouver que le fournisseur d’infrastructure lui-même a été victime d’une intrusion. Les éléments disponibles ne permettent pas de déterminer quel environnement a été consulté. La menace d’extorsion figurant dans la notification ne permet pas non plus d’établir un montant de rançon vérifié ni un paiement. ^{1 2}

Une enquête de Group-IB rapportée par Infosecurity a établi un lien entre le compte associé à la chaîne Telegram xuanyewengateway, mentionné dans la notification, et des activités antérieures d’échange d’objets de jeu. OSINTsights a distingué la création de la chaîne, le 6 octobre, de l’historique en ligne plus ancien de son administrateur. Il s’agit d’un rapprochement fondé sur l’historique du compte, et non de l’identification d’un attaquant dans le monde réel — ni d’une preuve que le responsable de la chaîne, l’expéditeur de la notification et l’auteur du vol de données étaient la même personne. ^{23 39}

Dans son article du 7 octobre, Cybernews indiquait que les chercheurs n’avaient trouvé ni fichiers divulgués ni échantillons prouvant la possession de données clients d’ASOS. La déclaration du 8 octobre et l’examen d’un échantillon par la BBC font évoluer les éléments dont on disposait auparavant. Ils ne valident pas l’affirmation précise selon laquelle Snowflake aurait été entièrement compromis. ^{26 2}

Les déclarations les plus récentes d’ASOS indiquent que les coordonnées de cartes de paiement, les coordonnées bancaires et les mots de passe des comptes n’ont pas été consultés. Cette affirmation est plus catégorique que l’évaluation initiale, selon laquelle les cartes et les mots de passe ne semblaient pas avoir été concernés. ASOS a indiqué à ses clients qu’ils n’avaient aucune mesure à prendre, tout en les mettant en garde contre les sollicitations non demandées. De son côté, l’expert en cybersécurité Trevor Dearing a recommandé de changer ses mots de passe par précaution et de surveiller toute activité suspecte ; cette recommandation ne prouve pas que les mots de passe des clients d’ASOS ont été dérobés. ^{1 2 3}

Le conseil publié par la BBC le 6 octobre invitait les clients à ignorer la notification push non autorisée et à ne pas y donner suite ; le message contenait un lien externe. Skint Dad a ensuite rapporté que le NCSC recommandait de partir du principe que des données avaient été exposées, même sans avoir reçu la notification. Le passage disponible du NCSC en première source ne permettait pas de vérifier la formulation exacte, et une consigne de précaution ne signifie pas que les informations de chaque client ont été consultées. ^{21 14 9}

Les échanges avec les autorités ont progressé, mais leur statut officiel reste flou. Le reportage de la BBC du 6 octobre indiquait qu’à cette date, ASOS n’avait pas informé l’Information Commissioner’s Office. Le 7 octobre, l’ICO a publiquement reconnu les inquiétudes des clients et les a invités à la prudence face aux liens et aux pièces jointes. Au 8 octobre, ASOS disait travailler avec les forces de l’ordre et les autorités de régulation. Ni la déclaration disponible de l’ICO ni cette description de l’entreprise ne permettent d’établir à quelle date un signalement officiel de violation a été reçu ; rien ne permet ici d’affirmer qu’ASOS a manqué un délai de signalement. ^{1 6 3}

L’ampleur de l’activité du détaillant rend l’absence de décompte importante, mais ne permet pas de la combler. Le premier article mentionnait plus de 10 millions de téléchargements de l’application Android, environ 17 millions de clients par an et plus de 150 marchés. Les téléchargements correspondent à des installations cumulées, et non au nombre de personnes exposées ; les clients annuels et les marchés sont des indicateurs de l’ampleur de l’activité, pas des totaux de personnes touchées par la violation. ¹

Les investisseurs ont vivement réagi, bien que les pourcentages rapportés ne concordent pas. Le 6 octobre, BBC News a décrit une baisse d’environ un dixième ce mardi-là. FRANCE 24 English a fait état, ce soir-là, d’une baisse maximale de 12% en séance et d’une perte de 7% à la clôture. Le 7 octobre, SBS News a rapporté une baisse de 10% pendant la nuit. Les descriptions de la BBC et de SBS ne précisent ni les heures exactes d’observation ni les cours de référence ; les variations en séance et à la clôture sont des mesures différentes. ^{1 5 4}

L’historique des cours du FT indique une clôture à 454.00p le 6 octobre et un plus bas journalier de 426.50p. Par rapport à la clôture précédente de 502.00p rapportée par Daily Political, cela correspond à des baisses de 9.56% et 15.04%, respectivement — des chiffres différents de ceux de FRANCE 24. Ces calculs restent conditionnels, car l’extrait du FT disponible ne présentait pas la ligne de la veille. Le compte rendu intrajournalier distinct de Shattered.io faisait état d’une baisse pouvant atteindre 13.2% et d’un cours de 439p, supérieur au minimum enregistré sur l’ensemble de la journée. Aucun élément établi n’attribue exclusivement à la violation de données l’ensemble des mouvements de la journée. ^{33 31 5 29}

La question centrale n’est plus de savoir s’il s’agissait simplement d’un dysfonctionnement du système de notifications. Des profils clients ont été dérobés. La réponse qui manque est celle de l’identité des personnes concernées — et les clients ne disposent toujours pas d’un décompte définitif de leur exposition individuelle.

BBC News a fourni le compte rendu initial de la notification ¹, des informations plus détaillées sur les profils ², sa version RSS ⁷, son article sur la notification sur BBC.com ²⁴, sa couverture en direct ^{12 25} et des conseils aux clients ²¹. The Guardian a publié la déclaration destinée aux clients dans son suivi en direct de l’actualité économique ³. SBS News ⁴ et FRANCE 24 English ⁵ ont fourni des comptes rendus diffusés à l’antenne.

Les sources officielles comprenaient la déclaration de l’ICO sur ASOS ⁶, l’annonce d’ASOS publiée par Investegate ⁸, ainsi que la page du NCSC consacrée à l’incident ⁹ et son PDF ¹⁰. D’autres articles sur l’incident ont été publiés par BleepingComputer ¹¹, Drapers ¹³, Irish Independent ¹⁵, Retail Insight Network ¹⁸, SecurityWeek ¹⁹ et Daily Mail ²⁰.

Les conseils aux clients et les autres articles comprenaient Skint Dad ¹⁴, ALLATRA Media ¹⁷, ainsi que le guide de protection de The Independent ¹⁶, son compte rendu détaillé de la violation ²², son article sur le vol d’identifiants ³⁷ et son explication de la notification ⁴¹. Cybernews a fourni son évaluation antérieure des éléments disponibles ²⁶.

Les informations sur l’historique du compte provenaient de l’enquête d’Infosecurity sur Telegram ²³, d’OSINTsights ³⁹ et de Tech Debrief ⁴⁰. Infosecurity ³⁸, Forbes ³² et The Paypers ⁴² ont également publié des articles sur la notification.

Les sources boursières étaient le tableau historique des cours du FT ³³, Daily Political ³¹, Shattered.io ²⁹, Global Banking & Finance Review ²⁷, Sharecast ²⁸, AskTraders ³⁰, FashionNetwork ³⁴, la page des cours historiques d’Investors Chronicle ³⁵ et The Sunday Guardian ³⁶.