ASOS подтвердила доступ к данным клиентов после взлома учётки сотрудника
Онлайн-ритейлер одежды ASOS подтвердил инцидент: 6 октября посторонний получил доступ к учётной записи сотрудника через социальную инженерию и мог увидеть персональные данные части клиентов. Об этом пишет Intelligent CISO со ссылкой на обращение компании к покупателям. Карты оплаты и пароли аккаунтов, по заявлению ASOS, не затронуты; сайт и приложение компания называет безопасными.
Как, по словам ASOS, это произошло
Злоумышленник представился доверенным контактом и выманил учётные данные сотрудника. Этими данными затем зашли на отдельные сторонние платформы, которыми пользуется компания. ASOS сразу закрыла затронутые контуры, подключила внутренних и внешних специалистов и на момент письма расследовала инцидент уже 48 часов. Полная оценка, предупреждает ритейлер, может занять несколько недель. Число затронутых клиентов не названо.
В выборке, которую компания описывает как возможный доступ, — имена и контакты, плюс часть сведений об аккаунте без платёжных реквизитов. ASOS заявила, что берёт ответственность, усилила контроль и работает с правоохранителями и регуляторами. Клиентов просят не отвечать на неожиданные сообщения и звонки «от ASOS» с просьбой назвать пароль, код или данные карты: компания утверждает, что так не спрашивает.
Что из этого следует для своей почты и подрядчиков
Точка входа — не витрина магазина, а учётка человека с доступом к чужим платформам. Это тот же класс риска, что и агент или интеграция, которая ходит от имени сотрудника: в каталоге SSO видна учётка, не намерение того, кто ею пользуется. Смежный разбор — сторонние ИИ-агенты вне SSO.
Где это в модели зрелости
Выдача и отзыв доступов сотрудника, в том числе на SaaS подрядчика, — управление доступом. Если среди данных есть ПДн покупателей, параллельно смотрите безопасность данных и чек-лист готовности к утечке.
Как проверить
Составьте список сторонних платформ, куда сотрудники ходят корпоративной учёткой. Для каждой: SSO или отдельный пароль, MFA, кто владелец, журнал входов за последние 30 дней. Учётку с широким экспортом контактов не оставляйте без отдельного согласования и без возможности мгновенно отозвать сессии.
Прогоните сценарий «представился коллегой / вендором»: куда сотрудник вводит пароль, кто подтверждает MFA-запрос, есть ли канал «перезвони по справочнику, не по номеру из письма». Клиентам в шаблоне уведомления напишите, чего вы никогда не спросите. Если ПДн ушли — порядок уведомления Роскомнадзора.
Источники
- Intelligent CISO. ASOS confirms customer data accessed following employee account compromise. URL: https://www.intelligentciso.com/2026/10/08/asos-confirms-customer-data-accessed-following-employee-account-compromise/.
