ASOS bevestigt dat hackers via ongeautoriseerde pushmeldingen in de mobiele app mogelijk klantgegevens hebben buitgemaakt.
De Britse modewinkel ASOS heeft een datalek bevestigd nadat hackers ongeautoriseerde pushmeldingen verstuurden via de mobiele app. In deze meldingen beweerden de aanvallers klantgegevens te hebben gestolen uit de Snowflake-omgeving van het bedrijf.
ASOS, een grote online retailer die kleding, schoenen, accessoires en beautyproducten wereldwijd verkoopt, bevestigde dat derde partijen die worden gebruikt voor klantcommunicatie zonder toestemming waren benaderd. Hierbij zouden basisgegevens zoals namen en contactinformatie mogelijk zijn blootgesteld. Klanten krijgen via een in-app bericht het dringende advies om de ongeautoriseerde pushmelding te negeren en niet te klikken op de daarin opgenomen externe link.
Hoewel de hackers claimden toegang te hebben tot de Snowflake-omgeving, heeft ASOS dit niet bevestigd en is onduidelijk hoeveel klanten getroffen zijn. Het bedrijf gaat ervan uit dat betaalgegevens en accountwachtwoorden niet zijn gelekt. De pushmeldingen verschenen dinsdag rond 11 uur Nederlandse tijd en werden door veel gebruikers ontvangen. De melding verwees naar een Telegram-kanaal van een groep die zichzelf 'Xuanye group' noemt.
In berichten op dit kanaal stelde de groep dat betalingsinformatie niet was aangetast, maar later publiceerden zij een 'FINAL STATEMENT' waarin zij stelden klantgegevens te hebben buitgemaakt. Volgens de groep blijft de app veilig in gebruik en worden de gegevens voorlopig niet openbaar gemaakt. Er is echter geen bewijs geleverd van de daadwerkelijke compromittering van de Snowflake-omgeving of de omvang van het datalek.
ASOS roept gebruikers op alert te blijven en geen interactie aan te gaan met verdachte meldingen. Dit incident onderstreept het belang van waakzaamheid bij pushmeldingen en communicatie via apps. Voor organisaties is het cruciaal om de beveiliging van communicatiekanalen en cloudomgevingen goed te monitoren en te beschermen.
