ASOS 黑客窃取了客户搜索记录，也窃取了让诈骗看起来可信的联系方式

一条知道你最近在买什么的诈骗信息，比随机发送的信息更难让人置之不理。这正是 ASOS 扩大披露的泄露事件带来的实际风险：黑客获取了客户档案，其中既有联系客户的方式，也有他们在这家零售商网站上的搜索记录。公司称，支付信息和密码未遭访问，但这些信息未被获取，并不意味着其他信息无害。^{2 3}

截至 2026 年 10 月 8 日，ASOS 已告知客户，黑客掌握了可能涉及数百万用户的详细档案。BBC 报道称，攻击者提供的样本包含姓名、地址、电话号码、电子邮件地址、客户编号和网站搜索记录。ASOS 尚未披露受影响人数、被窃取的档案数量或下载的信息总量。“可能涉及数百万”指的是可能的规模，并非经确认的泄露总数。²

据报道，搜索内容包括“reclaimed vintage”“glamorous wide fit”和“Asos petite”。如果将某人的兴趣与其电子邮件地址或电话号码结合起来，欺诈者便可能借此编造出令人信服的购物关联。这是信息暴露带来的风险，并非有证据表明某位客户已遭诈骗，或相关记录已被公开发布。搜索内容示例来自《卫报》转载的 BBC 报道。^{2 3}

该样本既不能证明每份档案包含哪些内容，也不能说明完整数据集的规模。ASOS 自己的声明指出，姓名、联系方式和“某些非个人账户相关信息”遭到访问，但没有完整界定最后一类信息。完整的客户电子邮件和数据集并未提供给外部独立审查。尽管如此，这份更完整的说明实质上取代了公司最初关于基本个人信息可能遭到访问的警告。^{2 3}

数十名收件人告诉 BBC，他们收到了该通知，但这并非收件人总数。SBS 报道称，澳大利亚的手机上也收到了该信息，表明其传播范围并非局限于英国。但通知的送达时间也不能证明入侵或下载何时开始。10 月 6 日至 7 日的报道描述称，ASOS 应用和网站运行正常；购物服务是否可用与客户信息是否受到保护，是两个不同的问题。^{1 4}

ASOS 表示，攻击者冒充可信联系人，骗取一名员工账户的登录凭证，随后利用这些凭证访问第三方平台上的信息。攻击者使用一项未具名服务下载了客户数据。这是通过冒充他人窃取凭证的说法，并非已证实底层数据平台存在技术漏洞。被访问的服务、账户权限和访问时间范围仍未披露。^{2 3}

通知声称：“我们已完全控制 Snowflake 实例。”Snowflake 表示，其调查仍在进行中，截至当时尚未发现其平台遭到入侵。自称 Xuanyewen 的网络犯罪分子另行告诉 BBC，他们通过 Simon AI 获取了信息；该平台被描述为基于 Snowflake 构建。这一具体途径尚未得到独立证实。^{1 2}

与 ASOS 有关的实例、基于 Snowflake 构建的服务，以及 Snowflake 底层平台，并非可以互换的概念。凭证遭窃可能让人进入客户环境，但不能据此证明基础设施提供商本身遭到入侵。现有调查结果尚未确定究竟哪个环境遭到访问。通知中带有勒索性质的威胁，也不能证明勒索金额或付款情况。^{1 2}

据 Infosecurity 报道，Group-IB 的研究将通知中出现的 Telegram 频道 xuanyewengateway 关联账户，与此前的游戏道具交易活动联系起来。OSINTsights 区分了该频道于 10 月 6 日创建的时间和其管理员更早的网络活动记录。这种关联基于账户历史，并不等于确认现实世界中的攻击者身份，也不能证明频道控制者、通知发送者和数据窃取者是同一人。^{23 39}

Cybernews 于 10 月 7 日报道称，研究人员尚未发现能够证明有人持有 ASOS 客户记录的泄露文件或样本。10 月 8 日的披露以及 BBC 对样本的检查，推进了此前的证据情况，但并未证实 Snowflake 遭到全面入侵这一具体说法。^{26 2}

ASOS 最新声明称，支付卡信息、银行资料和账户密码未遭访问。这一说法比最初“据信银行卡信息和密码未受影响”的评估更为明确。ASOS 告知客户无需采取行动，同时提醒他们警惕未经请求的联系。网络安全专家 Trevor Dearing 则另行建议，客户可出于预防考虑更改密码，并留意可疑活动；这项建议并不能证明 ASOS 密码遭到窃取。^{1 2 3}

BBC 于 10 月 6 日发布的建议告诉客户，对未经授权的推送通知不予理会，也不要与其互动；该信息包含一个外部链接。此后，Skint Dad 报道了英国国家网络安全中心（NCSC）的建议，即使没有收到通知，也应假设信息可能已泄露。现有 NCSC 一手材料中未显示该建议的确切措辞；预防性指导也不代表认定每位客户的信息都遭到访问。^{21 14 9}

监管方面的沟通已有进展，但正式状态仍不明确。BBC 10 月 6 日的报道称，截至该报道发布时，ASOS 尚未通知英国信息专员办公室（ICO）。10 月 7 日，ICO 公开回应客户的担忧，并建议谨慎对待链接和附件。到 10 月 8 日，ASOS 表示正与执法机构和监管部门合作。现有 ICO 声明和公司的这一说法，均无法确定何时收到正式的数据泄露报告；目前没有依据认定 ASOS 错过了报告期限。^{1 6 3}

这家零售商的业务覆盖面使缺失的受影响人数尤为关键，但不能据此推算出人数。最初的报道提到，其安卓应用下载量超过 1000 万次，年客户数约为 1700 万，业务覆盖 150 多个市场。下载量是累计安装次数，并非受影响人数；年客户数和市场数量反映的是业务规模，也不是泄露事件涉及的人数。¹

投资者反应剧烈，但报道中的跌幅数据并不一致。BBC News 于 10 月 6 日报道称，ASOS 股价当天星期二下跌约十分之一。当晚，FRANCE 24 English 报道称，盘中最大跌幅为 12%，收盘下跌 7%。SBS News 于 10 月 7 日报道称，股价隔夜下跌 10%。BBC 和 SBS 的说法未注明具体观察时间或比较价格；盘中波动和收盘变化是不同的衡量指标。^{1 5 4}

英国《金融时报》（FT）的历史股价记录显示，10 月 6 日收盘价为 454.00p，当日最低价为 426.50p。若以 Daily Political 报道的前一交易日收盘价 502.00p 为基准，则两者分别意味着下跌 9.56% 和 15.04%，与 FRANCE 24 的数据不同。由于现有 FT 摘录未显示前一交易日的数据行，这些计算仍有条件限制。Shattered.io 另行报道称，盘中跌幅最高达 13.2%，股价跌至 439p，高于有记录的全天最低价。没有确凿证据表明当天的全部股价波动都由此次泄露事件造成。^{33 31 5 29}

核心问题已不再是这是否只是通知系统的一次故障。客户档案已经被窃取。尚无答案的是哪些客户的档案遭到窃取；客户仍未获得关于个人信息受影响情况的确切说明。

BBC News 提供了最初的通知事件报道 ¹、扩展后的客户档案报道 ²、其 RSS 版本 ⁷、BBC.com 的通知事件报道 ²⁴、实时报道 ^{12 25} 以及客户建议 ²¹。《卫报》在其商业新闻实时报道中刊载了客户声明 ³。SBS News ⁴ 和 FRANCE 24 English ⁵ 提供了广播报道。

官方材料包括 ICO 关于 ASOS 的声明 ⁶、由 Investegate 刊载的 ASOS 公告 ⁸，以及 NCSC 的事件页面 ⁹ 和 PDF 文件 ¹⁰。其他事件报道来自 BleepingComputer ¹¹、Drapers ¹³、Irish Independent ¹⁵、Retail Insight Network ¹⁸、SecurityWeek ¹⁹ 和 Daily Mail ²⁰。

客户指导和其他报道包括 Skint Dad ¹⁴、ALLATRA Media ¹⁷，以及《独立报》的防护指南 ¹⁶、扩展版泄露事件报道 ²²、凭证窃取报道 ³⁷ 和通知说明 ⁴¹。Cybernews 提供了较早的证据评估 ²⁶。

关于账户历史的报道来自 Infosecurity 对 Telegram 的调查 ²³、OSINTsights ³⁹ 和 Tech Debrief ⁴⁰。其他通知事件报道来自 Infosecurity ³⁸、福布斯 ³² 和 The Paypers ⁴²。

市场数据来源包括 FT 历史股价表 ³³、Daily Political ³¹、Shattered.io ²⁹、Global Banking & Finance Review ²⁷、Sharecast ²⁸、AskTraders ³⁰、FashionNetwork ³⁴、《投资者纪事报》的历史股价页面 ³⁵ 和《星期日卫报》³⁶。