ASOS indaga su una notifica non autorizzata e un possibile accesso ai dati dei clienti

Il 6 ottobre 2026, i clienti di ASOS hanno ricevuto nell’app dell’azienda una notifica non autorizzata con l’intestazione «ASOS HACKED». Il messaggio affermava che i mittenti avevano compromesso un’istanza di Snowflake e minacciava di divulgare informazioni. L’azienda ha confermato che l’avviso era stato inviato e che stava indagando su attività non autorizzate sulle piattaforme di terzi utilizzate per comunicare con i propri clienti.

La comparsa del messaggio in un canale legittimo del marchio distingue l’incidente da una minaccia pubblicata esclusivamente sui social network: dimostra che è stato utilizzato senza autorizzazione un canale di comunicazione rivolto ai clienti. Tuttavia, ciò non dimostra di per sé che i mittenti abbiano avuto accesso a Snowflake, né consente di stabilire quali sistemi o dati possano essere stati esposti.

Che cosa ha confermato l’azienda e che cosa non si sa ancora

ASOS ha dichiarato che potrebbero essere stati consultati dati personali, compresi nomi e dati di contatto. Secondo le informazioni disponibili, l’azienda non ritiene che siano stati interessati i dati delle carte di pagamento o le password degli account. Ha inoltre affermato di aver limitato l’accesso alle piattaforme di notifica e di collaborare con specialisti interni ed esterni e con le autorità competenti. Il suo sito web e la sua app erano ancora operativi.

Il 9 ottobre, Malwarebytes ha pubblicato un aggiornamento in cui riferisce il furto di dati dei clienti, comprese le ricerche di acquisti. Questo dato amplia le informazioni disponibili sui possibili dati interessati, ma l’aggiornamento non specifica pubblicamente il volume dei dati né quante persone potrebbero essere coinvolte. Inoltre, non conferma che l’istanza di Snowflake menzionata nell’avviso sia stata violata, né come sia avvenuto l’accesso. I riferimenti a Snowflake e a un gruppo che si è attribuito il messaggio provengono dai mittenti stessi; non costituiscono una verifica indipendente della loro identità o di tutte le loro affermazioni.

Un incidente che porta l’attenzione sui fornitori tecnologici

L’indagine si concentra sulle piattaforme di terzi che ASOS utilizza per comunicare con i propri clienti. Il caso evidenzia una sfida operativa per le aziende: un problema con strumenti esterni può interessare canali che gli utenti identificano come appartenenti al marchio. Tuttavia, i dati pubblicati non stabiliscono come sia stato ottenuto l’accesso né se l’attività abbia avuto origine presso un fornitore specifico.

Per le organizzazioni, la distinzione è importante: l’uso improprio di un canale di notifica è confermato e, successivamente, Malwarebytes ha riferito il furto di dati dei clienti, comprese le ricerche di acquisti. Restano da chiarire la portata completa dell’incidente, la modalità di accesso e il rapporto tra il furto segnalato e la presunta intrusione in Snowflake. Le informazioni disponibili non consentono neppure di determinare il numero di persone coinvolte o il volume totale dei dati potenzialmente accessibili.

ASOS ha dichiarato che avrebbe fornito aggiornamenti qualora la situazione fosse cambiata. L’indagine resta importante per chiarire i dettagli che non sono stati resi pubblici; nel frattempo, le conclusioni sulla portata devono distinguere tra quanto comunicato da ASOS e quanto riferito dall’aggiornamento di Malwarebytes.