ASOS confirms data breach after “HACKED” in-app notifications

Violation de données chez ASOS : détournement des notifications push

Le détaillant en ligne ASOS a confirmé une intrusion dans ses systèmes via une plateforme tierce utilisée pour la communication client. Des attaquants, se faisant appeler le groupe « Xuanye », ont détourné le système de notifications push de l’application mobile pour diffuser des messages d’alerte et revendiquer le piratage de l’instance Snowflake de l’entreprise.

Points clés :

• Incident : Utilisation non autorisée d’un outil de communication tiers pour envoyer des notifications push aux utilisateurs de l’application mobile ASOS.
• Données exposées : ASOS confirme l’accès potentiel à des informations personnelles basiques (noms, coordonnées).
• Données préservées : L’entreprise affirme que les mots de passe et les informations de paiement ne sont pas compromis.
• Revendication : Le groupe « Xuanye » prétend avoir compromis l’instance Snowflake d’ASOS, bien que cela reste à confirmer par l’entreprise.

Vulnérabilités :

• Aucun identifiant CVE spécifique n’a été associé à cette intrusion. La faille semble résider dans le compromis d’accès d’une plateforme tierce de gestion de notifications plutôt qu’une vulnérabilité logicielle directe sur l’application.

Recommandations :

• Pour les utilisateurs : Ignorer et ne pas cliquer sur les liens contenus dans les notifications suspectes envoyées par l’application.
• Vigilance accrue : Surveiller toute activité inhabituelle sur son compte client, bien que le risque lié aux données de paiement soit jugé faible.
• Pour les organisations : Renforcer la sécurité des accès aux services tiers (API de messagerie, plateformes de gestion) via une authentification multifacteur (MFA) stricte et une revue régulière des permissions accordées aux prestataires externes.

Source