ASOS links data breach to social engineering attack, credential theft

Violation de données chez ASOS par ingénierie sociale

Le détaillant de mode en ligne ASOS a été victime d’une intrusion informatique causée par une attaque par ingénierie sociale. Des pirates ont usurpé l’identité d’un contact de confiance pour subtiliser les identifiants d’un employé, leur permettant d’accéder à des plateformes tierces utilisées par l’entreprise. L’incident a également été marqué par l’envoi de notifications push malveillantes via l’application mobile ASOS, incitant le personnel à contacter les attaquants sur Telegram.

Points clés :

• Nature de l’attaque : Ingénierie sociale visant le vol d’identifiants de connexion.
• Données exposées : Noms complets, coordonnées et informations de compte non personnelles.
• Données protégées : Aucune information de paiement ni mot de passe n’a été compromis.
• Conséquences : Utilisation de l’application officielle pour diffuser des notifications frauduleuses (groupe « Xuanye »).

Vulnérabilités :

• Aucune CVE spécifique n’a été identifiée pour cet incident, car l’attaque repose sur une faille humaine (ingénierie sociale) plutôt que sur une exploitation logicielle directe.

Recommandations :

• Sensibilisation : Renforcer la formation des employés contre les techniques de manipulation et d’usurpation d’identité.
• Sécurité des accès : Implémenter et exiger systématiquement l’authentification multifacteur (MFA) pour tous les comptes, y compris sur les plateformes tierces.
• Vigilance client : Rester prudent face à tout message ou appel inattendu sollicitant des informations sensibles (mots de passe, codes de sécurité, coordonnées bancaires). ASOS rappelle qu’aucune action sur les comptes clients n’est requise à ce stade.

Source