L'essentiel
ASOS n'a pas été piraté par une faille logicielle : un seul identifiant de salarié hameçonné a ouvert les outils tiers qui stockent les données clients et permettent de leur écrire. Le 8 octobre 2026, le distributeur de mode britannique a confirmé que des attaquants s'étaient fait passer pour un contact de confiance, avaient récupéré les identifiants et les avaient utilisés sur des plateformes de prestataires, deux jours après l'envoi d'une fausse alerte via son application.
Selon ASOS, ni les cartes bancaires ni les mots de passe n'ont été dérobés. Le point faible se trouvait dans la couche dont dépendent aujourd'hui la plupart des plateformes e-commerce et retail : services de marketing, de personnalisation et de messagerie qui vivent hors du cœur du système, mais détiennent des profils clients détaillés et peuvent atteindre le téléphone de chaque utilisateur.
Comment les attaquants ont-ils accédé aux données clients d’ASOS ?
D'après le communiqué d'ASOS, l'attaque a commencé par de l'ingénierie sociale, pas par un logiciel malveillant. Une personne se présentant comme un contact de confiance a convaincu un salarié de lui remettre l'identifiant d'un compte professionnel. Ces identifiants donnaient ensuite accès à des plateformes tierces que le distributeur utilise pour stocker les informations clients et communiquer avec eux.
C'est cette seconde capacité qui a rendu l'incident public. Au lieu d'exfiltrer discrètement les données, les attaquants ont utilisé l'accès à la messagerie pour envoyer une alerte dans l'application officielle ASOS, adressée au délégué à la protection des données et à l'équipe IT, avec l'injonction de « prendre contact ». Les clients ont donc appris la fuite par les attaquants, quelques heures avant la première déclaration de l'entreprise. Selon Malwarebytes, le groupe a laissé deux semaines à ASOS pour répondre à une demande de paiement.
Le message des attaquants mettait en cause une instance Snowflake compromise. Snowflake dit n'avoir constaté aucune compromission de sa plateforme, et TechCrunch souligne qu'on ignore encore si le compte concerné était protégé par une authentification multifacteur. Le schéma rappelle la vague de fuites chez des clients Snowflake en 2024 : des identifiants valides, pas de MFA sur la bonne porte et un entrepôt de données qui servait fidèlement quiconque se connectait.
Pourquoi les outils de personnalisation et de messagerie sont-ils si exposés ?
Les outils de marketing et de personnalisation sont généralement achetés et administrés hors de l'équipe technique. Ils reçoivent de larges exports de données clients pour que les modèles classent les produits et segmentent les audiences, et des droits d'envoi pour que les campagnes partent sans mise en production. Les comptes sont souvent créés prestataire par prestataire plutôt que via le SSO de l'entreprise, et revus bien moins souvent que les accès de production.
Résultat : une seconde base clients, moins bien verrouillée. Dans le cas d'ASOS, les données signalées incluent les requêtes de recherche des clients, exactement le contexte dont un fraudeur a besoin pour rédiger un message de relance crédible. Le rachat de Simon AI par Monetate en juillet illustre un autre risque courant : lors de l'intégration d'un prestataire racheté, la propriété des comptes et les politiques d'accès peuvent changer sans que le client s'en aperçoive.
Ce que cela change pour les équipes logicielles aux États-Unis et dans l'UE
D'abord, traiter les consoles des prestataires comme de la production. Tout outil tiers qui détient des données clients ou peut leur écrire doit passer par votre fournisseur d'identité, avec une MFA résistante au phishing (passkeys ou clés matérielles), de l'accès conditionnel et un retrait automatique des droits. Un mot de passe qui fonctionne seul à un endroit quelconque de la chaîne, c'est exactement la brèche exploitée ici.
Ensuite, séparer « lire les données » et « écrire à tous les utilisateurs ». Les envois massifs par push, SMS et e-mail sont une capacité à fort impact. Exigez un second validateur pour les envois à toute l'audience, plafonnez le volume par utilisateur et par heure et déclenchez une alerte sur les campagnes créées hors des horaires habituels. Les équipes mobiles doivent aussi vérifier que leurs clés de fournisseur push ne sont pas partagées entre plusieurs outils.
Enfin, réduire ce qui sort de votre système. Les prestataires de personnalisation ont rarement besoin à la fois des noms complets, des adresses postales et de l'historique de recherche brut. Des identifiants pseudonymes et des partages de données ciblés et limités dans le temps réduisent ce qu'un seul identifiant volé peut exposer. Pour les activités dans l'UE et au Royaume-Uni, c'est aussi la minimisation des données du RGPD appliquée, et une violation à notifier doit parvenir à l'autorité de contrôle dans les 72 heures suivant sa découverte.
Quelles conséquences pour les e-commerçants français ?
Le scénario parlera aux équipes françaises : en 2024, la fuite massive de France Travail était déjà partie de comptes de conseillers usurpés, et non d'une faille technique. Chez les e-commerçants, le même angle mort existe côté marketing : outils de routage d'e-mails, de personnalisation, de CDP ou de notifications push souvent souscrits par les équipes marketing ou par une agence, avec des comptes nominatifs hors SSO, que la DSI ne voit pas dans sa cartographie. Pour une enseigne dont l'application est le premier canal de fidélisation, une fausse notification envoyée à toute la base pèse autant sur la marque que la fuite elle-même.
Côté conformité, la mécanique est connue : un prestataire qui traite les données clients est un sous-traitant au sens de l'article 28 du RGPD, et le responsable de traitement doit s'assurer de ses mesures de sécurité ; un accès sans MFA y est un point faible difficile à justifier. Une violation de données doit être notifiée à la CNIL dans les 72 heures, et la CNIL recommande l'authentification multifacteur pour les accès à des données sensibles ou en volume. Concrètement : croisez la liste des prestataires issue de la comptabilité avec les journaux SSO, traitez en priorité les comptes dotés de droits d'envoi et répétez la procédure de notification avant d'en avoir besoin.
Que vérifier dès cette semaine ?
- Lister chaque outil SaaS doté de données clients ou de droits d'envoi. Personnalisation, CDP, CRM, push, e-mail et support compris, avec le responsable de chaque compte administrateur.
- Supprimer les comptes isolés. Placer chaque outil derrière le SSO avec une MFA résistante au phishing, ou le restreindre par IP et politique réseau quand le SSO n'est pas disponible.
- Verrouiller les envois massifs. Ajouter des étapes de validation et des plafonds de volume aux envois push, SMS et e-mail à l'échelle de l'application, et alerter l'équipe sécurité en cas de campagne inhabituelle.
- Alléger les partages de données. Revoir les champs exportés vers chaque prestataire et supprimer tout ce dont le cas d'usage n'a pas besoin, notamment les adresses et l'historique de recherche brut.
- Répéter la première heure. Préparer un message aux clients, un canal in-app que vous maîtrisez et une check-list de notification à la CNIL avant d'en avoir besoin.
Questions fréquentes
Que s'est-il passé lors de la fuite de données d'ASOS ?
Le 6 octobre 2026, les utilisateurs de l'application ASOS ont reçu une notification push des attaquants annonçant que l'entreprise avait été piratée. Le 8 octobre, ASOS a confirmé qu'une personne s'était fait passer pour un contact de confiance pour obtenir l'identifiant d'un salarié, puis l'avait utilisé pour accéder à certaines plateformes tierces employées par le distributeur, d'où ont été tirés des noms, coordonnées et certaines informations liées aux comptes.
Des données de carte bancaire ou des mots de passe ont-ils été volés ?
ASOS affirme qu'aucune donnée de carte bancaire ni aucun mot de passe n'ont été consultés et que son site et son application sont restés utilisables en toute sécurité. D'après un échantillon transmis à la BBC, les données volées comprennent des adresses postales, numéros de téléphone, adresses e-mail et requêtes de recherche sur le site.
Snowflake a-t-il été piraté ?
Rien ne l'indique. Les attaquants ont affirmé avoir compromis une instance hébergée sur Snowflake, mais Snowflake dit n'avoir trouvé aucune compromission de sa plateforme. L'accès provenait d'un identifiant de salarié volé utilisé sur des plateformes tierces, pas d'une faille de Snowflake.
Quel est le rôle de Simon AI ?
Les attaquants disent avoir atteint les données via Simon AI, une plateforme de personnalisation client construite sur Snowflake et utilisée par ASOS. Monetate a racheté Simon AI en juillet 2026. Aucune des deux entreprises ne s'était exprimée publiquement au moment des articles ; le lien avec ce prestataire reste donc une affirmation des attaquants.
Que doivent faire les e-commerçants et les éditeurs SaaS ?
Placer chaque console de prestataire détenant des données clients ou des droits d'envoi derrière le SSO de l'entreprise avec une MFA résistante au phishing, supprimer les comptes isolés, réduire les données clients transmises aux outils de marketing et de personnalisation, ajouter validations et plafonds aux campagnes push et e-mail, et répéter la communication de crise pour que les clients soient informés d'abord par vous.
Sources
TechCrunch — Asos confirms breach of customer data after hackers send rogue app notification
Bloomberg — Hackers tricked Asos employee to steal work account login
Bloomberg — Asos shares slump after app users receive hack notification
The Record — ASOS: Hackers tricked way into employee account before sending rogue push notification
Malwarebytes — ASOS breach update: hackers stole customer details and shopping searches