Le 6 octobre, les utilisateurs de l’application du distributeur de mode britannique ASOS ont reçu une notification un peu particulière : un message des pirates eux-mêmes, adressé à l’équipe informatique de l’enseigne. Derrière ce coup d’éclat, une attaque très simple : un salarié trompé, un compte volé, et des outils marketing en ligne peu surveillés.
Ce qui s’est passé
Selon ASOS, un attaquant s’est fait passer pour une personne de confiance auprès d’un salarié et a obtenu ses identifiants de connexion. Avec ce compte, il a pu accéder à plusieurs outils en ligne (SaaS, des logiciels loués et utilisés via Internet) employés par l’entreprise, dont celui qui envoie les notifications aux clients de l’application (Infosecurity Magazine, 8 octobre 2026).
Le groupe, qui se fait appeler « Xuanye Group », a utilisé cet outil pour annoncer lui-même son attaque à tous les utilisateurs de l’application et demander à l’entreprise de le contacter. ASOS a informé la Bourse de Londres le jour même, puis a écrit à ses clients le 8 octobre. Le régulateur britannique des données personnelles (ICO) a été notifié. Le jour de l’annonce, l’action ASOS a perdu jusqu’à 13 % en séance, selon Dark Reading (Dark Reading, 9 octobre 2026).
Comment l’attaque a fonctionné
L’attaque n’a demandé aucune faille technique sophistiquée. Elle s’est déroulée en trois temps.
- La ruse. L’attaquant contacte un salarié en se faisant passer pour un interlocuteur de confiance et obtient ses identifiants. Le moyen utilisé (téléphone, messagerie, e-mail) n’a pas été précisé.
- La connexion. Avec ce compte valide, il se connecte à plusieurs plateformes tierces de l’enseigne. Pour ces outils, rien ne distingue cette connexion d’une connexion normale.
- La prise de parole. Il récupère des données clients, puis utilise l’outil de notifications pour écrire à toute la base de l’application.
Dans leur message, les pirates affirmaient que l’espace de stockage de données d’ASOS chez Snowflake (un service de données dans le cloud) était entièrement compromis. Snowflake a indiqué que l’incident ne venait ni d’une faille ni d’une mauvaise configuration de son service.
Ce schéma est révélateur. Les outils de marketing, d’e-mailing ou de notification sont souvent choisis et gérés par les équipes commerciales, sans que la sécurité soit consultée. Les comptes y ont souvent des droits larges, et il n’existe en général ni double validation ni alerte quand quelqu’un écrit à toute la clientèle.
Ce qu’on ne sait pas encore
- L’étendue exacte du vol. ASOS parle de noms et de coordonnées, sans données bancaires ni mots de passe. La BBC, qui a reçu un échantillon des pirates, y a aussi vu des adresses, des numéros de téléphone, des numéros de client et des historiques de recherche sur le site, selon Dark Reading.
- Le chemin exact entre le compte du salarié et l’outil de notifications. Les pirates disent être passés par un outil marketing particulier : ce point n’est pas confirmé à ce stade.
- La présence ou non d’une double authentification sur le compte volé, et le montant d’une éventuelle demande de rançon.
Ce que ça change pour une PME
Vos outils marketing contiennent votre fichier clients et, surtout, ils parlent en votre nom. Ici, les pirates ont envoyé une revendication. Ils auraient tout aussi bien pu envoyer un lien piégé à tous les clients.
- Faites la liste de vos outils qui « parlent » à vos clients (e-mailing, SMS, notifications, réseaux sociaux) et de ceux qui contiennent votre fichier clients. Ils méritent la même protection que votre comptabilité.
- Activez la double authentification (mot de passe plus un code ou une application) sur tous ces outils, pour tous les comptes.
- Limitez qui peut envoyer un message à toute votre base clients, et demandez une seconde validation pour ce type d’envoi quand l’outil le permet.
- Rappelez une règle simple à vos équipes : une demande d’identifiant ou de code, même venant d’un contact connu, se vérifie toujours par un autre moyen, par exemple un appel à un numéro déjà connu.
Dossiers : Mots de passe et accès volés · Pièges tendus aux utilisateurs
Cet article prolonge notre bulletin de veille du 12 octobre 2026.
Analyse préparée avec l’aide d’une intelligence artificielle à partir de sources publiques, sous la responsabilité de KyNeo. Malgré nos contrôles, des erreurs peuvent subsister : en cas de doute, référez-vous aux sources citées. Les informations non confirmées sont signalées comme telles.