ASOS untersucht Hackerzugang nach App-Warnung

Benutzer der ASOS-App erhielten am Dienstagmorgen (6. September) um etwa 10 Uhr Londoner Zeit eine Push-Benachrichtigung mit dem Titel "ASOS hacked". Der Text, laut von Kunden geteilten Screenshots und in der britischen Presse wiedergegeben, war an das Unternehmen gerichtet: "Dear ASOS DPO and IT, we have fully compromised the Snowflake instance. Engage with us, or we will leak it." Die Nachricht verwies auf ein Telegram-Konto.

Stunden später bestätigte der Online-Modehändler "nicht autorisierte Aktivitäten". In einer Mitteilung erklärte ASOS, dass das Unternehmen "nicht autorisierte Aktivitäten in Verbindung mit Drittanbieter-Plattformen, die wir zur Kommunikation mit unseren Kunden nutzen, untersucht" und Maßnahmen ergriffen habe, um "den Zugang zu den Benachrichtigungsplattformen sofort einzuschränken". Das Unternehmen teilte mit, dass grundlegende persönliche Daten, wie Namen und Kontaktdaten, "möglicherweise zugänglich gemacht wurden", jedoch glaubt, dass Kartendaten oder Passwörter nicht betroffen waren. ASOS entschuldigte sich bei den Kunden und gab bekannt, dass man mit internen und externen Spezialberatern sowie "allen relevanten Behörden" zusammenarbeitet.

Was bestätigt ist und was beantragt wird

ASOS bestätigt den Versand der nicht autorisierten Benachrichtigung und die Untersuchung von Drittanbieter-Kommunikationsplattformen. Die Gruppe hinter der Nachricht behauptet, die ASOS-Instanz in Snowflake, der Cloud-Datenplattform, die von Tausenden von Unternehmen genutzt wird, "vollständig" kompromittiert zu haben und droht, den Inhalt zu leaken. Diese Behauptung wurde jedoch nicht unabhängig verifiziert. ASOS hatte bis zur Veröffentlichung dieses Berichts nicht öffentlich Stellung zu der spezifischen Behauptung genommen, dass ihre Snowflake-Instanz kompromittiert wurde.

Snowflake seinerseits erklärte, eine Untersuchung nach der Benachrichtigung eingeleitet zu haben und "keine Kompromittierung" seiner Plattform festgestellt zu haben. Die Unterscheidung ist wichtig: Ein Kundenkonto bei Snowflake kann mit gestohlenen Anmeldeinformationen und ohne dass die Plattform selbst gehackt wurde, zugegriffen werden.

Der Präzedenzfall 2024

Genau dieses Muster bestimmte die Kampagne, die 2024 Kunden von Snowflake betraf. Damals stellte Mandiant die Angriffe der Gruppe UNC5537 zu, die gestohlene Anmeldeinformationen durch Malware vom Typ Infostealer nutzte, um auf Konten ohne Multi-Faktor-Authentifizierung zuzugreifen. Etwa 165 Organisationen wurden als potenziell betroffen benachrichtigt, darunter AT&T, Ticketmaster und Santander. Die Schlussfolgerung der Untersuchungen war, dass die Infrastruktur von Snowflake nicht verletzt wurde, jedoch die Standard-Zugriffskonfiguration die Verantwortung für die Sicherheit der Anmeldeinformationen beim Kunden belässt. Danach begann das Unternehmen, MFA standardmäßig für neue Konten zu verlangen.

Im Fall von ASOS lässt sich bisher nicht sagen, ob sich das Muster wiederholt. Was die Benachrichtigung konkret zeigt, ist, dass die Angreifer ausreichenden Zugriff auf ein Kommunikationswerkzeug mit Kunden hatten, um eine Massenmitteilung über den offiziellen Kanal der Marke auszulösen. Für einen Einzelhändler ist dieser Kanal geschäftlich aktiv: Über ihn werden Promotions, Lieferhinweise und im Falle eines Vorfalls die Anweisungen an die Kunden versendet.

Zweiter Vorfall binnen weniger Monate

Es ist nicht das erste Sicherheitsproblem bei ASOS im Jahr 2026. In Schreiben vom 21. August informierte die ASOS US Sales LLC amerikanische Kunden darüber, dass sie am 28. Juli unübliche Aktivitäten in Konten festgestellt habe, die auf Anmeldeinformationen zurückzuführen seien, die außerhalb des Unternehmens erlangt wurden, was von Experten als Credential Stuffing-Angriff klassifiziert wurde. Laut einer Erhebung der Anwaltskanzlei Srourian waren etwa 138.828 Personen betroffen, wobei Namen, Adressen, Telefonnummern und teilweise Kartendaten offengelegt wurden.

Die beiden Vorfälle haben unterschiedliche Natur, und es gibt keine öffentlichen Hinweise auf eine Verbindung zwischen ihnen. In Kombination jedoch stellen sie den Einzelhändler in beiden Märkten unter die Kontrolle der Aufsichtsbehörden: der ICO im Vereinigten Königreich, wo das Unternehmen seinen Sitz hat, und staatlichen Behörden in den Vereinigten Staaten, wo die Benachrichtigung im August erlassen wurde. Nach der DSGVO des Vereinigten Königreichs müssen Vorfälle mit Risiken für die betroffenen Personen innerhalb von 72 Stunden dem ICO gemeldet werden.

Die blinde Stelle der Engagement-Tools

Für CISOs im Einzelhandel und im Finanzdienstleistungssektor offenbart der Vorfall eine Kategorie von Anbietern, die oft aus dem kritischen Risikoinventar ausgeschlossen wird: Push-Plattformen, E-Mail-Marketing und CRM, die mit Kundenlisten verbunden sind und befugt sind, im Namen der Marke zu kommunizieren. Diese Tools werden normalerweise vom Marketing beauftragt, in Data Warehouses wie Snowflake integriert und mit Dienstanmeldeinformationen betrieben, die selten denselben Rotationszyklus wie die zentralen Systeme durchlaufen.

Der Rufschaden in diesem Typ von Angriff geschieht, bevor jegliche Daten geleakt werden. Kunden in verschiedenen Märkten erhielten auf ihrem Handy das Wort "hacked", unterzeichnet von der Marke, und die erste Reaktion des Unternehmens kam Stunden später, über die Presse. Die nächste Überprüfung von Verträgen mit Engagement-Anbietern sollte eine Frage einbeziehen, die nur wenige Einzelhändler gestellt haben: Wer, außer dem Marketing, kann den Sendebutton drücken?