Asos bekräftar kunddataintrång efter att hackare skickat en falsk appavisering

Den brittiska modeåterförsäljaren Asos har bekräftat ett intrång som berör kunders personuppgifter, efter att hackare använde företagets app för att skicka en obehörig avisering till användarna.

I en anmälan till London Stock Exchange uppgav Asos att hackare hade fått åtkomst till en tredjepartsplattform med data som företaget använder för att kommunicera med kunder. Företaget sade att namn och kontaktuppgifter stals. BBC News rapporterade att de stulna uppgifterna även omfattar hemadresser, telefonnummer, e-postadresser och anteckningar i kundprofiler, till exempel sökningar på webbplatsen.

Aviseringen riktade sig till Asos dataskyddsombud och IT-avdelning och hävdade att företagsdata som lagras hos Snowflake hade “komprometterats helt”. Den hotade att läcka uppgifterna om Asos inte tog kontakt med hackarna. Gruppen, som använder namnet Xuanye Group, har inte uppgett hur mycket data den säger sig ha.

Bleeping Computer rapporterade att hackarna fick åtkomst till Snowflake-instansen genom att utge sig för att vara en betrodd kontakt för att få inloggningsuppgifter. Snowflake sade att dess system inte hade utsatts för intrång. Det är oklart om Asos Snowflake-instans använde multifaktorautentisering eller hur hackarna kom åt systemet för appaviseringar.

Enligt Asos webbplats har företaget 17 miljoner kunder. Källan tar också upp ett separat, tidigare intrång hos fintechföretaget Betterment, där hackare använde åtkomst till en tredjepartsplattform för marknadsföring för att utge sig för att vara företaget och skicka en kryptobluff till kunder.