ASOSへのハッキングで顧客の検索履歴と、詐欺を信じ込ませるための情報が窃取された

買い物客が何を探していたかを知っている詐欺メッセージは、無作為に送られたものより見抜きにくい。ASOSが拡大した情報漏えいの開示で明らかにした実際的な危険はそこにある。ハッカーは、同社のウェブサイトで行われた検索と、顧客への連絡手段を含むプロフィールを入手した。決済情報とパスワードにはアクセスされていないと同社は述べているが、だからといって他の情報が無害になるわけではない。^{2 3}

2026年10月8日までに、ASOSは、ハッカーが数百万人に及ぶ可能性のある詳細なプロフィールを保有していると顧客に伝えた。BBCによると、攻撃者が提供したサンプルには、氏名、住所、電話番号、メールアドレス、顧客番号、ウェブサイトでの検索履歴が含まれていた。ASOSは、影響を受けた人数、盗まれたプロフィールの数、ダウンロードされた情報量を明らかにしていない。「数百万人に及ぶ可能性」は規模の可能性を示すもので、確認された漏えい総数ではない。 ²

報告された検索語には、「reclaimed vintage」「glamorous wide fit」「Asos petite」が含まれていた。関心の対象とメールアドレスや電話番号が結び付けば、詐欺的な連絡に信憑性のある買い物情報を加えることができる。これは漏えいした情報から生じるリスクであり、特定の顧客が詐欺被害に遭ったことや、記録が公に公開されたことを示す証拠ではない。検索例は、BBCの報道を掲載したThe Guardianによる。^{2 3}

このサンプルは、すべてのプロフィールの内容も、データ一式全体の規模も示すものではない。ASOS自身の声明は、氏名、連絡先情報、「特定の非個人のアカウント関連情報」がアクセスされたと明らかにしているが、最後の区分の詳細は十分に定義していない。顧客宛ての完全なメールとデータセットは、独立した検証のために入手できなかった。それでも、より詳細な説明は、基本的な個人情報がアクセスされた可能性があるとした同社の当初の警告を実質的に更新するものだ。^{2 3}

数十人の受信者が通知を受け取ったとBBCに話したが、これは受信者の総数ではない。SBSはオーストラリアの携帯電話にも通知が届いたと報じており、このメッセージが英国に限られていなかったことを示している。通知が届いた時刻から、侵入やダウンロードが始まった時期を特定することもできない。10月6～7日の報道では、ASOSのアプリとウェブサイトは通常どおり稼働していたとされるが、買い物ができることと顧客情報が保護されていることは別の問題だ。^{1 4}

ASOSによると、攻撃者は信頼されている連絡先になりすまして従業員アカウントのログイン認証情報を入手し、それを使ってサードパーティーのプラットフォーム上の情報にアクセスした。顧客データのダウンロードには、名称が明かされていないサービスが使われた。これはなりすましによる認証情報窃取の説明であり、基盤となるデータプラットフォームに技術的な脆弱性があったと確認されたわけではない。アクセスされたサービス、アカウントの権限、アクセス期間は明らかになっていない。^{2 3}

通知は「Snowflakeのインスタンスを完全に侵害した」と主張した。Snowflakeは調査が続いており、これまでのところ自社プラットフォームへの侵害は確認されていないと述べた。Xuanyewenを名乗るサイバー犯罪者は別途、Snowflake上に構築されたプラットフォームと説明されているSimon AIを通じて情報にアクセスしたとBBCに語った。この具体的な経路は、独立した検証によって確認されていない。^{1 2}

ASOSに関連するインスタンス、Snowflake上に構築されたサービス、Snowflakeの基盤プラットフォームは、同じものではない。盗まれた認証情報で顧客環境にアクセスできても、インフラ提供事業者自体が侵害された証明にはならない。入手可能な調査結果では、どの環境にアクセスされたかは確定していない。通知に含まれた恐喝めいた脅迫も、確認された身代金の金額や支払いを示すものではない。^{1 2}

Infosecurityが報じたGroup-IBの調査は、通知に登場したTelegramチャンネル「xuanyewengateway」に関連付けられたアカウントを、過去のゲームアイテム取引活動と結び付けた。OSINTsightsは、チャンネルが作成された10月6日と、その管理者のより古いオンライン上の履歴を区別した。これはアカウント履歴上の関連であり、現実世界の攻撃者を特定するものでも、チャンネルの管理者、通知の送信者、データ窃取者が同一人物だったことを証明するものでもない。^{23 39}

Cybernewsが10月7日に報じたところでは、研究者は、ASOSの顧客記録を保有していることを証明する流出ファイルやサンプルを見つけていなかった。10月8日の開示とBBCによるサンプルの検証は、それ以前の証拠状況を更新するものだ。しかし、Snowflakeが全面的に侵害されたという具体的な主張を裏付けるものではない。^{26 2}

ASOSの最新の声明によると、決済カード情報、銀行口座情報、アカウントのパスワードにはアクセスされていない。これは、カード情報とパスワードへの影響はないとみられるとしていた当初の評価よりも断定的だ。ASOSは顧客に、対応する必要はないと伝える一方、心当たりのない連絡には注意するよう呼び掛けた。サイバーセキュリティ専門家のトレバー・ディアリングは別途、予防措置としてパスワードを変更し、不審な動きに注意するよう勧めた。この勧告は、ASOSのパスワードが盗まれた証拠ではない。^{1 2 3}

10月6日に掲載されたBBCの助言は、顧客に対し、無許可のプッシュ通知を無視し、反応しないよう伝えていた。そのメッセージには外部リンクが含まれていた。その後、Skint Dadは、通知を受け取っていなくても情報が漏えいしたと想定するよう求めるNCSCの助言を報じた。入手可能なNCSCの一次資料の該当箇所では正確な文言を確認できず、予防的な助言は、すべての顧客の情報にアクセスされたとの認定ではない。^{21 14 9}

規制当局との連携は進んでいるが、正式な手続きの状況は依然として不明確だ。BBCは10月6日の報道で、その時点でASOSは情報コミッショナー事務局（ICO）に通知していなかったと伝えた。10月7日、ICOは顧客の懸念を公に認め、リンクや添付ファイルに注意するよう促した。10月8日までに、ASOSは法執行機関や規制当局と連携していると述べた。入手可能なICOの声明も、同社の説明も、正式な情報漏えい報告をいつ受け取ったかを示していない。ASOSが報告期限を逃したという裏付けのある認定はない。^{1 6 3}

小売業者としての顧客基盤の大きさから、人数が不明であることは重大だが、その規模の数字を埋めることはできない。当初の報道は、Androidアプリのダウンロード数が1000万件超、年間顧客数が約1700万人、販売地域が150を超えると伝えていた。ダウンロード数は累計インストール数であり、情報が漏えいした人数ではない。年間顧客数と販売地域数は事業規模を示す指標で、漏えい件数ではない。¹

投資家は大きく反応したが、報じられた下落率は一致していない。BBC Newsは10月6日、火曜日に株価が約10分の1下落したと伝えた。同日夕方、FRANCE 24 Englishは、日中の最大下落率が12%、終値での下落率が7%だったと報じた。SBS Newsは10月7日、一晩で10%下落したと伝えた。BBCとSBSの報道は正確な観測時刻や比較対象の株価を明示していない。日中の変動と終値の変動は異なる指標だ。^{1 5 4}

FTの過去株価記録によると、10月6日の終値は454.00p、日中安値は426.50pだった。Daily Politicalが報じた前日の終値502.00pと比べると、それぞれ9.56%と15.04%の下落となり、FRANCE 24の数字とは異なる。ただし、入手可能なFTの抜粋には前日の行がなかったため、計算は条件付きのままだ。Shattered.ioが別途伝えた日中の下落幅は最大13.2%、株価は439pで、記録された終日の最安値を上回っていた。その日の値動き全体が情報漏えいだけに起因すると示す確立された証拠はない。^{33 31 5 29}

中心的な問いは、もはや通知システムの混乱にすぎなかったのかどうかではない。顧客プロフィールは持ち出された。誰の情報が対象になったのかという答えはなく、顧客はいまも自分の情報がどの程度影響を受けたかについて、確定的な説明を得られていない。

BBC Newsは、当初の通知に関する報道¹、プロフィール情報を拡充した報道²、RSS版⁷、BBC.comの通知報道²⁴、随時更新記事^{12 25}、顧客向け助言²¹を提供した。The Guardianは、ビジネス関連のライブ報道で顧客向け声明を掲載した³。SBS News ⁴とFRANCE 24 English ⁵は、放送での報道を提供した。

公式資料には、ICOのASOSに関する声明⁶、Investegateが掲載したASOSの発表⁸、NCSCのインシデントページ⁹とPDF¹⁰が含まれる。その他のインシデント報道は、BleepingComputer ¹¹、Drapers ¹³、Irish Independent ¹⁵、Retail Insight Network ¹⁸、SecurityWeek ¹⁹、Daily Mail ²⁰による。

顧客向け助言と関連記事には、Skint Dad ¹⁴、ALLATRA Media ¹⁷、The Independentの情報保護ガイド¹⁶、情報漏えいに関する詳報²²、認証情報窃取の報道³⁷、通知の解説⁴¹が含まれる。Cybernewsは、それ以前の証拠評価を提供した²⁶。

アカウント履歴に関する報道は、InfosecurityのTelegram調査²³、OSINTsights ³⁹、Tech Debrief ⁴⁰による。通知に関する追加報道は、Infosecurity ³⁸、Forbes ³²、The Paypers ⁴²による。

株価に関する情報源は、FTの過去株価表³³、Daily Political ³¹、Shattered.io ²⁹、Global Banking & Finance Review ²⁷、Sharecast ²⁸、AskTraders ³⁰、FashionNetwork ³⁴、Investors Chronicleの過去株価ページ³⁵、The Sunday Guardian ³⁶だった。