Piratage ASOS : quand vos outils de communication client deviennent la note de rançon
Le mardi 6 octobre 2026, vers 10 h (heure de Londres), des clients du détaillant de mode britannique ASOS ont reçu une notification de l’application officielle de l’entreprise. Le titre : « ASOS HACKED ». Le message ne s’adressait pas aux clients, mais au responsable de la protection des données et à l’équipe informatique d’ASOS. Les pirates venaient de transformer l’application de l’entreprise en note de rançon, livrée directement sur le téléphone de ses clients.
Pour une PME, la leçon du piratage ASOS ne porte pas sur la mode ni sur les applications mobiles. Elle porte sur une question simple : qui peut écrire à vos clients en votre nom, et avec quels outils ? Infolettre, textos de rappel, page Facebook, fiche Google, site web : chacun de ces « porte-voix » peut servir à un pirate.
Le message, annoté
Voici le texte de la notification tel que rapporté par la BBC et Malwarebytes, avec nos annotations.
APPLICATION ASOS · MAINTENANT
ASOS HACKED 1
« Dear Asos DPO and IT 2, we have fully compromised the Snowflake instance 3. Engage with us, or we will leak it. » + lien vers un canal Telegram 4
- Le canal est authentique. La notification venait bel et bien de l’application d’ASOS. C’est ce qui la rend crédible : aucun filtre antipourriel, aucun faux expéditeur à repérer.
- Le vrai destinataire, c’est l’entreprise. Écrire aux clients sert à mettre de la pression publique. Selon la BBC, les actions d’ASOS ont reculé d’environ 10 % ce mardi-là.
- Une affirmation, pas une preuve. Snowflake affirme n’avoir trouvé « aucune compromission » de sa plateforme, et ASOS ne mentionne pas Snowflake dans ses déclarations.
- Le piège du lien. Le lien menait à un canal Telegram créé le jour même, selon Group-IB. Consigne de toutes les autorités : ne pas cliquer.
Ce qui est confirmé, et ce qui ne l’est pas
Group-IB insiste sur un point utile pour toute entreprise : il faut séparer ce qui est confirmé de ce qui n’est qu’une affirmation des pirates. Voici l’état des faits au 8 octobre.
✓ CONFIRMÉ PAR ASOS
- Une activité non autorisée touchant des plateformes tierces qu’ASOS utilise pour communiquer avec ses clients.
- L’accès à ces plateformes de notification a été restreint immédiatement.
- Des renseignements de base, dont le nom et les coordonnées, ont peut-être été consultés.
- Le site et l’application fonctionnent normalement.
≈ PROBABLE, SELON DES EXPERTS
- Un accès au système de notification, qui est distinct d’une base de données (Horizon3, Group-IB).
- Des identifiants qui ont pu « ouvrir plus d’une porte » (Horizon3).
- Une compromission d’une plateforme infonuagique (SaaS), une méthode souvent utilisée contre des détaillants britanniques (Team Cymru).
✗ NON PROUVÉ
- Le vol d’une base de données clients : Group-IB n’a vu « aucun échantillon ».
- La compromission de Snowflake, que l’entreprise dément.
- La porte d’entrée exacte, encore inconnue.
ASOS affirme ne pas croire que les données de cartes de paiement ou les mots de passe aient été touchés. Le Centre national de cybersécurité du Royaume-Uni (NCSC) conseille quand même à tous les clients de se considérer comme touchés, même sans avoir reçu la notification, et de se méfier des messages frauduleux qui peuvent arriver bien après l’incident.
La vraie leçon : vos porte-voix valent autant que vos données
Group-IB le résume bien : pouvoir envoyer une notification prouve l’accès à un canal de messagerie client, pas la possession d’une base de données. Mais pour la réputation, la différence est mince. Comme le note sa chercheuse Anastasia Tikhonova, les systèmes que les détaillants utilisent pour parler à leurs clients, souvent gérés par des tiers, portent autant de confiance que la plateforme de données derrière eux et méritent la même surveillance.
Votre PME n’a peut-être pas d’application mobile. Mais elle a sûrement plusieurs de ces outils. Faites l’inventaire.
| Porte-voix | Ce qu’un pirate peut faire | À vérifier cette semaine |
|---|---|---|
| Infolettre (Mailchimp, Cyberimpact, etc.) | Écrire à toute votre liste, exporter les adresses | MFA, liste des utilisateurs, clés d’API actives |
| Textos et rappels de rendez-vous | Envoyer un lien piégé « de votre part » | Qui peut créer un envoi de masse, et qui l’approuve |
| Page Facebook, LinkedIn, X | Publier, écrire à vos abonnés, vous retirer l’accès | Administrateurs de la page, anciens employés, agence externe |
| Fiche Google (profil d’entreprise) | Changer votre numéro de téléphone ou votre site | Propriétaires et gestionnaires de la fiche |
| Site web (WordPress ou autre) | Afficher un message, rediriger vers un faux site | Comptes administrateurs, MFA, extensions à jour |
| Boîte courriel partagée (info@, factures@) | Répondre à vos clients, envoyer de fausses factures | MFA, règles de transfert automatiques inconnues |
| CRM ou logiciel de ventes | Envois automatisés, export complet des clients | Intégrations branchées, jetons d’accès oubliés |
Le chercheur de Team Cymru cité par Infosecurity Magazine évoque quelques voies d’accès possibles dans ce genre d’attaque, sans savoir laquelle a servi chez ASOS : un service d’assistance manipulé pour réinitialiser un mot de passe, une clé d’API oubliée dans le code JavaScript d’un site, ou des identifiants réutilisés et volés par un logiciel espion. Les trois se préviennent avec les mêmes réflexes : MFA partout, aucune clé secrète dans le code public du site, et des mots de passe uniques. Notre article sur l’hameçonnage AiTM qui contourne la MFA explique pourquoi une clé de sécurité ou une clé d’accès (passkey) vaut mieux qu’un code par texto.
Si on écrit à vos clients en votre nom : les 60 premières minutes
ASOS a réagi vite : accès restreint, déclaration publique l’après-midi même, courriel d’excuses aux clients le soir. Voici la version PME de ce réflexe.
MINUTE 0 À 10
Coupez l’accès : changez le mot de passe du compte touché depuis un appareil sain, déconnectez toutes les sessions, révoquez les clés d’API et suspendez les envois programmés.
MINUTE 10 À 20
Gardez des preuves : captures d’écran du message, heure d’envoi, journal d’activité de la plateforme. N’effacez rien avant de l’avoir copié.
MINUTE 20 À 40
Prévenez vos clients par un autre canal que celui qui a été piraté : un message court, factuel, qui dit de ne pas cliquer et rappelle que vous ne demandez jamais de paiement ou de mot de passe par message.
MINUTE 40 À 60
Ouvrez un dossier chez le fournisseur de la plateforme, appelez votre assureur cyber et évaluez si des renseignements personnels ont pu être consultés. Au Québec, la Loi 25 oblige à tenir un registre des incidents de confidentialité et à aviser la Commission d’accès à l’information et les personnes concernées si l’incident présente un risque de préjudice sérieux.
Préparez dès aujourd’hui le texte de ce message d’avertissement, et décidez par quel canal il partira. Le jour de l’incident, vous n’aurez pas le temps de le rédiger. La plateforme visée est chez un fournisseur ? Notre grille pour noter vos fournisseurs après une fuite de données vous aide à poser les bonnes questions.
Comment NeoTech peut vous aider
Pour les PME de Laval, de Montréal et de la Rive-Nord, on dresse l’inventaire de vos porte-voix (infolettre, réseaux sociaux, site, courriel, CRM), on active la MFA résistante à l’hameçonnage là où c’est possible et on fait le ménage dans les accès des anciens employés et des agences. Notre surveillance automatisée 24/7 avec intervention du technicien de garde repère les connexions suspectes à vos comptes Microsoft 365. Voir aussi nos services de cybersécurité.
Réservez votre Bilan cyber gratuit
Vous ne savez pas combien de personnes peuvent écrire à vos clients en votre nom ? En une courte rencontre, on fait le tour de vos comptes et on priorise ce qu’il faut verrouiller en premier.
👉 Réservez votre Bilan cyber gratuit
Appelez-nous au 438-476-2322 ou écrivez à info@neotechcloudsolutions.com.
Sources
- BBC News — Asos confirms hackers sent ‘unauthorised’ notification to app users (octobre 2026, en anglais)
- NCSC (Royaume-Uni) — Incident affecting ASOS customers (6 octobre 2026, en anglais)
- Malwarebytes — ASOS « hackers » send push notifications to customers (6 octobre 2026, en anglais)
- Infosecurity Magazine — Telegram Account Behind ASOS Rogue Notification Tied to Gaming Trading (7 octobre 2026, en anglais)
- Commission d’accès à l’information du Québec — Incidents de confidentialité
Photo : Emmanuel Jason Eliphalet, Pexels (licence Pexels).