Des pirates écrivent aux clients d'ASOS Notification « ASOS HACKED » sur l'appli, le 6 octobre

Les faits

Annonceur

ASOS

Médias

Notification push dans l'application mobile ; canal Telegram du groupe Xuanye

Date

6 octobre 2026

Marché

Royaume-Uni, international

Le mardi 6 octobre 2026, au matin, des utilisateurs de l'application ASOS ont reçu une notification push titrée « ASOS HACKED ». Le texte, en anglais, disait : « Dear Asos DPO and IT, we have fully compromised the Snowflake instance. Engage with us, or we will leak it. » Des dizaines de personnes ont écrit à la BBC pour dire qu'elles l'avaient reçue, et des problèmes d'accès à l'application étaient signalés juste avant 10 h, heure britannique, d'après Downdetector cité par The Next Web.

La notification renvoyait vers un canal Telegram tenu par un groupe qui se fait appeler Xuanye. Selon la BBC, ce canal a été créé le jour même. Sophos a indiqué au Guardian que ce nom n'apparaissait jusque-là ni sur les forums de pirates ni sur d'autres canaux Telegram. En fin d'après-midi, ASOS a publié une déclaration réglementaire : l'enseigne reconnaît l'envoi d'une notification non autorisée, enquête sur une activité touchant des plateformes tierces de communication client, en a restreint l'accès et travaille avec des conseils et les autorités. Elle écrit que des noms et des coordonnées ont pu être consultés, pas des données de carte bancaire ni des mots de passe, et que le site et l'application fonctionnent normalement.

ASOS ne dit rien de l'instance Snowflake citée par les pirates, et n'indique pas combien de clients sont concernés. Le groupe a ensuite affirmé que l'application était « sûre » et que les données étaient sur ses serveurs, sans preuve ni échantillon, d'après The Record. Dan Bird, de Horizon3, a rappelé à la BBC qu'envoyer une notification à tous les utilisateurs suppose d'avoir accès au système de notifications, distinct de Snowflake. L'action ASOS a perdu plus de 10 % le jour même, selon le Financial Times cité par The Next Web.

Le contexte

ASOS arrive à cet incident au sortir d'une année de redressement. Dans son point d'activité du 24 septembre 2026, l'enseigne chiffre ses clients actifs à 16,4 millions à la clôture de l'exercice, le 30 août, contre 16,5 millions à mi-année. Son volume d'affaires brut baisse de 5 % sur l'année, avec une croissance faible au quatrième trimestre, et l'EBITDA ajusté progresse de plus de 25 %. Le nombre de clients actifs a augmenté au quatrième trimestre pour la première fois depuis le deuxième trimestre de l'exercice 2022.

Une notification push est un canal que la marque possède, avec une autorité que n'a aucun média acheté. Airship, qui a analysé les données 2025 de plus de 3 milliards d'utilisateurs d'applications, mesure un taux d'acceptation médian de 53,3 % sur Android et de 48,85 % sur iOS. Un canal accepté par un client sur deux transmet aussi une fausse alerte avec le poids d'une vraie.

Le scénario évoque la série de vols de données qui a visé des clients de la plateforme Snowflake en 2024. Mandiant estimait alors que jusqu'à 165 organisations pouvaient être exposées, après l'usage d'identifiants volés sur des comptes sans double authentification. Au Royaume-Uni, la cyberattaque de Marks & Spencer au printemps 2025 a montré le coût d'un arrêt des commandes en ligne : environ 40 % de ventes en ligne mode et maison en moins au semestre suivant.

Ce que ça change

1. Cartographier les envoyeurs. La notification est partie d'un accès à des plateformes de relation client. Chaque marque gagne à lister les outils qui peuvent écrire en son nom, push, e-mail, SMS, et à savoir qui détient les droits d'envoi, chez elle comme chez ses prestataires.
2. Une validation à deux. Un message hors calendrier ne devrait pas partir sur la décision d'un seul compte. Une seconde validation, réglable dans la plupart des outils de relation client, réduit le risque qu'une seule clé compromise écrive à toute la base.
3. Un texte de crise prêt. ASOS a confirmé dans la journée avec une phrase sobre : plateformes tierces, données possibles, ce qui n'est pas touché. Les équipes de communication gagnent à rédiger ce texte et son circuit juridique avant l'incident, pas pendant.
4. Un canal de repli choisi. Une fausse notification pousse un lien. La marque doit dire vite ce qu'il ne faut pas ouvrir et où lire la version officielle, site, e-mail certifié ou réseaux sociaux. Ce canal se décide à l'avance, car l'application elle-même est suspecte.

Ailleurs

Sources

1. The Record : ASOS push notification apparently sent by hackers US, 6 octobre 2026
2. The Next Web : Asos app users get an alert claiming its Snowflake instance was compromised NL, 6 octobre 2026
3. RetailDetail Belgique : Asos confirme que des pirates ont utilisé l'application comme lettre de rançon BE, 7 octobre 2026
4. ASOS Plc (Investegate) : Pre-close trading update GB, 24 septembre 2026
5. Airship : Mobile App Push Notification Benchmarks for 2026 US, 2026-03

Cités dans l’article

• ASOSMarqueSuivre

Réagir

À lire ensuite

Data25 oct.5 min

Google conditionne sa promesse sur Gmail

Data16 oct.5 min

Stella Artois, Coors Original et Molson Ultra en tête

Data16 oct.4 min

Google fausse les relevés des outils de suivi