Am 6. Oktober 2026 erhielten ASOS-Kunden in der App des Unternehmens eine unbefugte Benachrichtigung mit der Überschrift „ASOS HACKED“. In der Nachricht wurde behauptet, die Absender hätten eine Snowflake-Instanz kompromittiert, und mit der Veröffentlichung von Informationen gedroht. Das Unternehmen bestätigte, dass die Mitteilung versandt worden war, und erklärte, es untersuche unbefugte Aktivitäten auf Plattformen von Drittanbietern, die zur Kommunikation mit seinen Kunden genutzt werden.
Dass die Nachricht über einen legitimen Markenkanal erschien, unterscheidet den Vorfall von einer Bedrohung, die ausschließlich in sozialen Medien veröffentlicht wird: Es zeigt, dass ein an Kunden gerichteter Kommunikationsweg unbefugt genutzt wurde. Für sich genommen beweist dies jedoch weder, dass die Absender auf Snowflake zugegriffen haben, noch lässt sich daraus ableiten, welche Systeme oder Daten möglicherweise offengelegt wurden.
Was das Unternehmen bestätigt hat und was weiterhin unbekannt ist
ASOS teilte mit, dass möglicherweise personenbezogene Daten, darunter Namen und Kontaktdaten, eingesehen worden seien. Nach den verfügbaren Informationen geht das Unternehmen nicht davon aus, dass Zahlungskartendaten oder Kontopasswörter betroffen waren. Außerdem erklärte es, den Zugriff auf die Benachrichtigungsplattformen eingeschränkt zu haben und mit internen und externen Spezialisten sowie den zuständigen Behörden zusammenzuarbeiten. Die Website und die App waren weiterhin betriebsbereit.
Am 9. Oktober veröffentlichte Malwarebytes ein Update, in dem vom Diebstahl von Kundendaten, darunter Suchanfragen zu Einkäufen, berichtet wird. Diese Angabe erweitert das Wissen darüber, welche Informationen möglicherweise betroffen waren; im Update werden jedoch weder das Datenvolumen noch die Zahl der möglicherweise betroffenen Personen öffentlich beziffert. Ebenso wird nicht bestätigt, dass die in der Mitteilung erwähnte Snowflake-Instanz kompromittiert wurde oder wie der Zugriff erfolgte. Die Verweise auf Snowflake und auf eine Gruppe, die sich zu der Nachricht bekannte, stammen von den Absendern selbst; sie sind keine unabhängige Bestätigung ihrer Urheberschaft oder sämtlicher ihrer Behauptungen.
Ein Vorfall, der den Fokus auf Technologieanbieter lenkt
Die Untersuchung konzentriert sich auf Plattformen von Drittanbietern, die ASOS zur Kommunikation mit seinen Kunden nutzt. Der Fall verdeutlicht eine betriebliche Herausforderung für Unternehmen: Ein Vorfall mit externen Tools kann Kommunikationskanäle betreffen, die Nutzer der Marke selbst zuordnen. Die veröffentlichten Informationen belegen allerdings weder, wie der Zugriff erlangt wurde, noch, ob die Aktivitäten von einem bestimmten Anbieter ausgingen.
Für Unternehmen ist diese Unterscheidung wichtig: Der Missbrauch eines Benachrichtigungskanals ist bestätigt, und Malwarebytes berichtet später vom Diebstahl von Kundendaten, darunter Suchanfragen zu Einkäufen. Das vollständige Ausmaß des Vorfalls, der Zugriffsweg und der Zusammenhang zwischen dem gemeldeten Diebstahl und dem angeblichen Eindringen in Snowflake sind weiterhin ungeklärt. Die verfügbaren Informationen lassen außerdem weder die Zahl der betroffenen Personen noch das Gesamtvolumen der potenziell zugänglichen Daten bestimmen.
ASOS erklärte, bei einer Änderung der Situation weitere Updates zu veröffentlichen. Die Untersuchung bleibt wichtig, um die nicht öffentlich gemachten Einzelheiten zu klären; bis dahin müssen Schlussfolgerungen zum Ausmaß zwischen den Angaben von ASOS und den Informationen im Update von Malwarebytes unterscheiden.
