ASOS heeft bevestigd dat er sprake is van een ASOS datalek. Volgens het bedrijf kregen gebruikers in het Verenigd Koninkrijk ongeautoriseerde meldingen op hun telefoon, terwijl de eigen website en applicatie volgens ASOS niet werden beïnvloed.
De meldingen kwamen tot stand nadat een derdepartij-communicatieplatform werd gecompromitteerd. Daarmee werd een kanaal voor klantencommunicatie aangevallen, waardoor aanvallers direct konden “praten” met slachtoffers via pop-ups in de mobiele apps.
Wat gebeurde er bij de ASOS datalek?
De problemen begonnen toen veel ASOS-gebruikers klaagden dat ze in de mobiele apps een pop-upmelding ontvingen met de titel “ASOS hacked”. De tekst richtte zich onder meer aan de data protection officer (DPO) en IT, en bevatte een dreigement gekoppeld aan het opschalen van schade als er niet met de aanvallers werd onderhandeld.
ASOS verklaarde dat het om ongeautoriseerde meldingen ging die werden veroorzaakt door het hacken van een platform dat bedoeld is om klanten te bereiken. Het bedrijf zegt direct te hebben ingegrepen door de toegang tot de notificatiekanalen te beperken.
Welke informatie mogelijk is geraakt
ASOS geeft aan dat de aanvallers mogelijk basisgebruikersinformatie hebben kunnen inkijken. Daarbij gaat het volgens de bevestiging om gegevens zoals namen en contactdetails.
Belangrijk is wat ASOS niet ziet als impact. Het bedrijf stelt dat betaalkaartinformatie en accountwachtwoorden niet zijn geraakt. Ook werd volgens ASOS de bedrijfsvoering niet verstoord en zijn de website en app niet beïnvloed.
Waarom ASOS een Snowflake-verwijzing kreeg
In de melding die gebruikers zagen, stond niet alleen een dreiging, maar ook een verwijzing naar een Snowflake-instance. Daarbij ging het om een eis aan ASOS om contact op te nemen met de aanvallers, met als alternatief het lekken van data.
In de berichtgeving rond de zaak wordt daarnaast door security-analisten geschetst dat Snowflake een data-analyse- en AI-platform is dat door meerdere organisaties wordt gebruikt. In 2024 was er al een grote golf waarbij Snowflake-instances van meer dan 160 organisaties werden gecompromitteerd en waarbij gevoelige data werd gebruikt voor afpersing.
Het is volgens de betrokken onderzoekers niet bevestigd dat de eerste toegang tot ASOS via een Snowflake-kwetsbaarheid verliep. Wel bestaat er volgens hen een plausibele gelijkenis met eerdere incidenten, al blijft het vooralsnog onzeker wat precies de start van de aanval was.
Geen details over platform of dader
ASOS heeft in de openbare bevestiging niet gedeeld om welk specifiek derdepartij-communicatieplatform het gaat en ook niet wie er achter de aanval zou zitten. Evenmin licht het bedrijf toe of een Snowflake-instance daadwerkelijk is geraakt.
Tegelijkertijd werd het incident geclaimd door een groep die zich Xuanye Group noemt via een nieuw aangemaakt Telegram-kanaal. De naam wijst mogelijk in de richting van een Chinese-sprekende actor, maar volgens security-onderzoekers kan dit ook een false flag zijn—een poging om de herkomst verkeerd te laten lijken.
Extortion met “publieke druk” via app-meldingen
Wat deze zaak extra opvallend maakt, is de manier waarop de aanvallers slachtoffers benaderden. Door klanten direct via de ASOS-app te overspoelen met een boodschap, richten de aanvallers de focus op reputatieschade en publieke aandacht.
Securityspecialisten merken op dat dit past bij de tactiek van afpersingsgroepen: media- en publieke aandacht vergroten de druk op het slachtoffer om toe te geven of te reageren. Daarnaast laat de aanpak zien dat het doel niet alleen dataverlies is, maar ook het afdwingen van escalatie via zichtbaarheid.
Ook is het opvallend dat de aanvallers niet simpelweg data probeerden te exfiltreren, maar tegelijkertijd kozen voor messaging richting de klantenbasis. Dat kan wijzen op een strategie om impact te maximaliseren in combinatie met dreiging.
Wat ASOS zegt te hebben gedaan
Volgens ASOS is er onmiddellijk ingegrepen om toegang tot de notificatieplatformen te beperken. Daarnaast werkt het bedrijf samen met interne en externe specialisten én met relevante autoriteiten.
Die combinatie (containment, analyse en samenwerking met instanties) is cruciaal bij dit type incident, omdat een gehackt communicatiekanaal kan leiden tot verdere misleiding of verdere datatoegang als de oorzaak niet volledig wordt weggenomen.
Waarom dit type aanval breder relevant is
De kern van de ASOS datalek case is niet alleen het mogelijk gelekte dataniveau, maar vooral het aanvalsoppervlak rond klantcommunicatie. Zodra een derdepartij die notificaties verzorgt, wordt gecompromitteerd, kan die toegang worden misbruikt om vertrouwenskanalen te benutten.
Voor organisaties betekent dit dat beveiliging niet stopt bij de eigen systemen. Het gaat ook om de keten van externe platformen die berichten, meldingen of customer engagement leveren.
Als je meer wilt lezen over aanvallen waarbij aanvallers via berichtenkanalen of kunstmatige toegang het vertrouwen benutten, zijn deze artikelen mogelijk relevant:
