Le 6 octobre 2026, le distributeur de mode britannique ASOS a vu ses propres notifications d’application utilisées par des pirates pour annoncer l’attaque à ses clients. Cette analyse s’adresse aux auditeurs, RSSI et responsables sécurité : mode opératoire confirmé par l’entreprise, correspondance avec MITRE ATT&CK, raisons d’une détection absente, questions d’audit ISO 27001 et pistes de sensibilisation. Plusieurs points restent non confirmés, notamment le chemin exact entre le compte volé et l’outil de notifications : nous le signalons à chaque fois.
Pour une lecture orientée dirigeant, voir notre décryptage « ASOS : un seul identifiant volé, et le pirate parle à vos clients ».
Contexte
- Victime : ASOS, distributeur de mode en ligne britannique, qui a confirmé l’incident (déclaration à la Bourse de Londres et courriel aux clients). Environ 17 millions de clients selon l’entreprise, environ 2 800 salariés (Dark Reading).
- Secteur : commerce en ligne.
- Dates : revendication et notification push le 6 octobre 2026, déclaration à la Bourse de Londres le même jour, courriel aux clients le 8 octobre (Infosecurity Magazine).
- Type : vol de données avec tentative d’extorsion, après la compromission d’un compte salarié par ingénierie sociale.
- Attaquant : « Xuanye Group ». Selon Group-IB, le compte Telegram associé a été créé ou renommé le 6 octobre et servait auparavant au commerce d’objets de jeux vidéo. Aucun lien avec une attaque antérieure n’est établi.
- Sans lien connu avec l’incident d’ASOS US de juillet (bourrage d’identifiants, environ 140 000 personnes), selon Check Point cité par Dark Reading.
Mode opératoire : ce qui est documenté et ce qui ne l’est pas
| Étape | Ce qui est rapporté | Correspondance MITRE ATT&CK (notre lecture) |
|---|---|---|
| Accès initial | L’attaquant se fait passer pour un contact de confiance d’un salarié et obtient ses identifiants (source : ASOS). Le canal (téléphone, messagerie, e-mail) n’est pas précisé. | T1656 Impersonation, T1589.001 (collecte d’identifiants) |
| Utilisation du compte | Les identifiants servent à « accéder à des informations sur certaines plateformes tierces utilisées par ASOS » (source : ASOS). | T1078.004 Valid Accounts: Cloud Accounts |
| Collecte | Données clients extraites. Les pirates disent être passés par une plateforme marketing branchée sur Snowflake. Revendication non confirmée. | T1213 Data from Information Repositories (si confirmé) |
| Exfiltration | Méthode non publiée. | Non documenté |
| Impact et pression | Notification push envoyée à tous les utilisateurs de l’application, avec un lien vers un canal Telegram. Promesse de ne pas toucher aux données « pendant une période donnée » (deux semaines selon The Telegraph, cité par Dark Reading). | Pas de technique exacte. La plus proche : T1491.002 External Defacement (modification d’un contenu visible du public) |
La colonne MITRE est une lecture de notre part, à partir des éléments publiés.
Ce qui est démenti
Snowflake affirme que l’incident ne résulte d’aucune faille, faiblesse ou mauvaise configuration de son service (Infosecurity Magazine).
Ce qu’on ne sait pas
Le chemin exact entre le compte du salarié et la plateforme de notifications (Dark Reading indique que ce point n’est pas encore confirmé), la présence ou non d’une MFA sur ce compte, le volume réel de données volées et le montant éventuel d’une rançon. Nous ne spéculons pas sur ces points.
Détection : c’est l’attaquant qui a annoncé l’attaque
L’attaque a été rendue publique par l’attaquant lui-même, via la notification push. Rien dans les sources ne dit qu’ASOS avait repéré l’intrusion avant.
Pourquoi elle n’a pas été vue plus tôt (analyse de notre part, à partir des propos d’experts cités par Dark Reading) :
- Des outils hors du radar de la sécurité. Les plateformes de marketing et de notification sont souvent achetées et gérées par les métiers. La sécurité n’est pas toujours associée à leur mise en place, et elles figurent rarement dans la liste des systèmes surveillés.
- Des droits larges. Un seul compte peut souvent écrire à toute la base clients.
- Aucun garde-fou sur l’envoi de masse. Il n’y a généralement ni double validation ni alerte quand quelqu’un envoie un message à tous les clients.
- Une connexion qui paraît normale. Un accès avec des identifiants valides ressemble à une connexion légitime.
Questions d’audit ISO 27001:2022
- A.5.9 et A.5.23 (inventaire, services cloud) : « Montrez-moi la liste des services SaaS utilisés par le marketing et la relation client. Lesquels contiennent des données clients ? Lesquels peuvent envoyer un message (e-mail, SMS, push) à toute la base ? Qui en est le propriétaire côté sécurité ? »
- A.5.15, A.8.2 et A.8.5 (contrôle d’accès, droits d’accès privilégiés, authentification sécurisée) : « Sur ces plateformes, qui a le droit d’envoyer un message de masse ? Ces comptes sont-ils nominatifs, protégés par une MFA résistante au phishing et revus au moins une fois par an ? Un envoi à toute la base exige-t-il une seconde validation ? »
- A.8.15 et A.8.16 (journalisation, surveillance) : « Les journaux de ces plateformes SaaS (connexions, exports, envois massifs) remontent-ils dans votre outil de supervision ? Quelle alerte se déclenche en cas d’export inhabituel ou d’envoi à 100 % de la base ? »
- A.5.24 et A.5.26 (gestion des incidents, réponse aux incidents) : « Votre plan de réponse prévoit-il le cas où l’attaquant communique avant vous, par vos propres canaux ? Qui peut couper en urgence l’accès à la plateforme de notifications, et en combien de temps ? »
Pistes de sensibilisation
- Exercice « Le faux contact de confiance » : simuler un appel ou un message d’un « collègue » ou d’un « prestataire connu » qui demande un code ou un identifiant. Message clé : on vérifie par un autre canal, avec un numéro qu’on connaît déjà, même quand la voix ou le ton sont familiers.
- Atelier pour les équipes marketing : montrer la vraie notification ASOS (capture publique) et demander « Que se serait-il passé si le message contenait un lien de phishing ? ». Objectif : faire comprendre aux métiers que leur outil d’envoi est un actif sensible, et pas seulement un outil de communication.
À lire aussi : notre décryptage pour les dirigeants, « ASOS : un seul identifiant volé, et le pirate parle à vos clients », et le bulletin de veille du 12 octobre 2026.
Analyse préparée avec l’aide d’une intelligence artificielle à partir de sources publiques, sous la responsabilité de KyNeo. Malgré nos contrôles, des erreurs peuvent subsister : en cas de doute, référez-vous aux sources citées. Les informations non confirmées sont signalées comme telles.