ASOS enquête sur une notification non autorisée et un éventuel accès aux données de clients

Le 6 octobre 2026, des clients d’ASOS ont reçu dans l’application de l’entreprise une notification non autorisée intitulée « ASOS HACKED ». Le message affirmait que ses expéditeurs avaient compromis une instance de Snowflake et menaçait de divulguer des informations. L’entreprise a confirmé que la notification avait été envoyée et qu’elle enquêtait sur une activité non autorisée sur des plateformes tierces utilisées pour communiquer avec ses clients.

L’apparition du message dans un canal légitime de la marque distingue cet incident d’une menace publiée uniquement sur les réseaux sociaux : elle montre qu’un moyen de communication destiné aux clients a été utilisé sans autorisation. Toutefois, elle ne prouve pas à elle seule que les expéditeurs ont accédé à Snowflake et ne permet pas d’établir quels systèmes ou quelles données ont pu être exposés.

Ce que l’entreprise a confirmé et ce qui reste à savoir

ASOS a indiqué que des données personnelles, notamment des noms et des coordonnées, pourraient avoir été consultées. D’après les informations disponibles, l’entreprise ne pense pas que les données des cartes de paiement ou les mots de passe des comptes aient été affectés. Elle a également indiqué avoir restreint l’accès aux plateformes de notification et travailler avec des spécialistes internes et externes ainsi qu’avec les autorités compétentes. Son site web et son application restaient opérationnels.

Le 9 octobre, Malwarebytes a publié une mise à jour faisant état du vol de données de clients, notamment de recherches d’achats. Cette information précise davantage les données susceptibles d’avoir été affectées, mais la mise à jour ne précise pas publiquement le volume de données ni le nombre de personnes concernées. Elle ne confirme pas non plus que l’instance Snowflake mentionnée dans la notification ait été compromise ni comment l’accès a eu lieu. Les références à Snowflake et à un groupe ayant revendiqué le message proviennent des expéditeurs eux-mêmes ; elles ne constituent pas une vérification indépendante de leur identité ou de l’ensemble de leurs déclarations.

Un incident qui met l’accent sur les prestataires technologiques

L’enquête porte sur les plateformes tierces qu’ASOS utilise pour communiquer avec ses clients. Cette affaire met en lumière un défi opérationnel pour les entreprises : un incident touchant des outils externes peut affecter des canaux que les utilisateurs identifient comme appartenant à la marque. Les données publiées ne permettent toutefois pas d’établir comment l’accès a été obtenu ni si l’activité provenait d’un prestataire en particulier.

Pour les organisations, la distinction est importante : l’utilisation abusive d’un canal de notification est confirmée et Malwarebytes fait ensuite état du vol de données de clients, notamment de recherches d’achats. L’étendue complète de l’incident, le mode d’accès et le lien entre le vol signalé et la prétendue intrusion dans Snowflake restent à clarifier. Les informations disponibles ne permettent pas non plus de déterminer le nombre de personnes concernées ni le volume total de données potentiellement accessibles.

ASOS a déclaré qu’elle publierait des mises à jour si la situation évoluait. L’enquête reste importante pour clarifier les détails qui n’ont pas été rendus publics ; dans l’intervalle, les conclusions sur l’étendue de l’incident doivent distinguer les informations communiquées par ASOS de celles figurant dans la mise à jour de Malwarebytes.