ASOS: notifica falsa nell'app e dati di clienti su piattaforme esterne
Il 6 ottobre 2026 i clienti di un grande negozio online di moda hanno ricevuto nell'app un messaggio non autorizzato che parlava di una violazione dei dati. L'azienda ha confermato un accesso non autorizzato a piattaforme di terzi. Qui trovi i fatti, le fonti e ciò che non si sa.
Scheda aggiornata al 21 ottobre 2026 In corso Le informazioni vengono da fonti pubbliche, elencate in fondo alla pagina; BoNet™ non ha informazioni dirette sull'incidente. Seguiamo il caso ogni settimana, anche dopo che la stampa smette di occuparsene.
Data di inizio dell'evento: 6 ottobre 2026 · Ultimo controllo delle fonti: 21 ottobre 2026
- Scheda creata. Ultimo sviluppo che risulta dalle fonti consultate: la dichiarazione aggiornata di ASOS dell'8 ottobre 2026. Non abbiamo ancora verificato sviluppi successivi.
- ASOS spiega che l'accesso è nato da un account di dipendente ottenuto con l'inganno.
- I clienti ricevono nell'app una notifica non autorizzata; ASOS comunica un accesso non autorizzato a piattaforme di terzi.
Tre cose da sapere
Che cosa è successo
Il 6 ottobre, verso le 10, i clienti hanno ricevuto nell'app una notifica non autorizzata. ASOS ha dichiarato che un accesso non autorizzato ha riguardato piattaforme di terzi usate per contattare i clienti, ottenuto prendendo le credenziali di un dipendente con l'inganno.
Che cosa ha comportato
Secondo ASOS sono stati esposti nomi, dati di contatto e alcune informazioni non personali sugli account; non dati di pagamento né password.
Che cosa non si sa
Quanti clienti siano coinvolti e quali altri dati siano stati presi: il gruppo che rivendica (Xuanye Group, mai visto prima) afferma di avere più dati e parla di una piattaforma di dati esterna, di cui il fornitore nega la compromissione.
I fatti, con le fonti
Ogni riga indica da dove viene l'informazione e quanto è solida. «Dichiarato» significa detto da un'azienda o da un'autorità; «riportato» significa scritto dalla stampa; «rivendicato» è ciò che dicono gli aggressori; «stima» e «ipotesi» dicono da soli quanto fidarsi. I numeri tra parentesi rimandano alle fonti in fondo alla pagina.
| Fatto | Stato | Fonti |
|---|---|---|
| Il 6 ottobre 2026, verso le 10, i clienti hanno ricevuto nell'app ASOS una notifica non autorizzata che affermava che l'azienda era stata violata. | Dichiarato | [1] [2] |
| ASOS ha dichiarato che c'è stata attività non autorizzata su piattaforme di terzi usate per contattare i clienti; ha limitato gli accessi e indaga con esperti esterni, forze dell'ordine e autorità. | Dichiarato | [1] [2] |
| ASOS ha detto che una persona non autorizzata ha ottenuto l'accesso a un account di un dipendente fingendosi un contatto fidato per carpire le credenziali, e che con queste ha raggiunto informazioni su piattaforme di terzi. | Dichiarato | [1] |
| Dati esposti secondo ASOS: nomi completi, dati di contatto e alcune informazioni non personali sugli account. ASOS non ritiene coinvolti i dati di pagamento né le password. | Dichiarato | [1] [2] |
| Un gruppo mai visto prima, «Xuanye Group», ha rivendicato il furto di dati dei clienti (non di pagamento) e ha minacciato di diffonderli; nel messaggio dichiarava di aver compromesso un'istanza della piattaforma Snowflake. | Rivendicato | [1] [2] |
| Snowflake ha detto alla BBC di non aver rilevato finora alcuna compromissione della sua piattaforma. | Riportato dalla stampa | [2] |
| ASOS non ha detto quanti clienti siano stati interessati. | Dichiarato | [1] [2] |
- Quanti clienti siano coinvolti e quali dati esattamente siano stati sottratti.
- Se la piattaforma Snowflake sia davvero coinvolta: il fornitore dice di no, il gruppo dice di sì.
- L'esito dell'indagine e di eventuali notifiche alle autorità: nelle fonti consultate non sono riportati.
Considerazioni generali, valide per qualunque organizzazione: non sono conclusioni sull'azienda colpita.
- L'inganno di un dipendente (ingegneria sociale) resta una via d'ingresso frequente: procedure di verifica per le richieste di credenziali (richiamare su un numero noto) e un'autenticazione a più fattori resistente al phishing riducono il rischio.
- Le piattaforme esterne di marketing o notifiche contengono dati dei clienti: i permessi vanno ridotti al minimo e controllati, e i dati conservati solo il tempo necessario.
- Avere un canale rapido per capire che cosa sia partito dalle proprie piattaforme (e un testo pronto per avvisare i clienti) accorcia la confusione dei primi giorni.
Da dove vengono le informazioni
| N. | Fonte | Titolo | Data | Che cosa abbiamo usato |
|---|---|---|---|---|
| [1] | BleepingComputer | ASOS links data breach to social engineering attack, credential theft | 8 ottobre 2026 | Dichiarazioni di ASOS, dati esposti e non esposti, rivendicazione del gruppo. |
| [2] | Help Net Security | ASOS confirms data breach after “hacked” app alert reaches shoppers | ottobre 2026 | Notifica del 6 ottobre, dichiarazione di ASOS, rivendicazione, posizione di Snowflake. |
Testi riassunti e riscritti con parole nostre. Se trovi un errore o una novità segnalacelo e correggeremo la scheda.
- Frigoriferi a 50 °C: l'attacco ai supermercati francesi · notte tra l'11 e il 12 ottobre 2026
- Brevo: accessi ai clienti e script alterati sui siti collegati · 9–14 settembre 2026
- FortiBleed: credenziali di circa 74.000 firewall e VPN Fortinet esposte · giugno 2026 (allerta CISA del 18 giugno)
Vuoi capire se la tua rete è esposta a rischi simili?
Il punto di partenza è quasi sempre un'analisi di rete: da lì si vede se servono test invasivi. Ogni richiesta viene valutata caso per caso.
Richiedi informazioni Vai a Efesto