Quand le message de rançon arrive par votre propre application

Le matin du 6 octobre, les utilisateurs de l’application ASOS au Royaume-Uni et sur plusieurs autres marchés ont reçu une notification push de la part de l’enseigne, dont ils entendent habituellement parler pour découvrir les nouveautés et les codes de réduction. Cette fois, le message disait « ASOS HACKED ». Il était adressé au délégué à la protection des données (DPO) et à l’équipe informatique de l’entreprise. Les auteurs affirmaient avoir « entièrement compromis l’instance Snowflake » et menaçaient de divulguer des données si ASOS ne les contactait pas par l’intermédiaire d’un canal Telegram. 

En moins d’une heure, les actions d’ASOS avaient chuté de plus de 10 %. Les auteurs de l’attaque n’avaient publié aucun dossier. 

Ce que l’on sait à ce stade

ASOS a confirmé dans l’après-midi qu’une notification non autorisée avait été envoyée et qu’elle enquêtait sur l’activité observée sur les plateformes tierces qu’elle utilise pour communiquer avec ses clients. L’entreprise a limité l’accès à ces plateformes et indiqué que des noms et des coordonnées avaient pu être exposés. Elle ne pense pas que les données de cartes de paiement ni les mots de passe des comptes aient été concernés. 

Le 8 octobre, l’entreprise a expliqué comment les auteurs de l’attaque s’y étaient pris pour accéder aux systèmes. Quelqu’un s’est fait passer pour un contact de confiance et a convaincu un employé d’ASOS de lui communiquer les identifiants de connexion de son compte professionnel. Ces identifiants ont permis aux auteurs d’accéder aux plateformes de communication avec les clients. ASOS a informé l’Information Commissioner’s Office, qui évalue l’incident. 

​​L’affirmation concernant Snowflake n’est toujours pas étayée. Snowflake indique que son enquête n’a révélé aucune compromission de sa plateforme, et le groupe à l’origine du message, qui se fait appeler Xuanye Group, n’a publié aucun échantillon de données. La question devrait être largement éclaircie si des données d’exemple apparaissent dans les prochains jours. Dans l’intervalle, le National Cyber Security Centre (NCSC) du Royaume-Uni a recommandé aux clients d’ASOS de partir du principe qu’ils pourraient être concernés, qu’ils aient ou non reçu la notification.​​​ 

Pourquoi l’IA relève le niveau de risque

​​Les enjeux de cet incident dépassent ce que laisse penser le simple jeu de données. Les détaillants qui développent la personnalisation pilotée par l’IA centralisent de plus en plus les données comportementales, transactionnelles et démographiques dans un profil client unique. ​Ces profils permettent d’affiner les recommandations et de mieux cibler les actions marketing. Entre les mains d’un attaquant, ils peuvent tout autant faciliter la fraude. ​​     ​​ 

​​​​Les attaquants n’ont plus besoin de rédiger manuellement des leurres sur mesure. Lors d’une expérience de terrain menée auprès de plus de 7 700 participants, des chercheurs de BIFOLD et de TU Berlin, en collaboration avec Inria et Ruhr University Bochum, ont constaté que l’hameçonnage personnalisé généré par l’IA obtenait un taux de clics 2,4 fois supérieur à celui de l’hameçonnage générique​.​​ 

​​​Les outils de communication au cœur de l’incident d’ASOS méritent la même attention. Les plateformes d’engagement client qui segmentent les publics, personnalisent les messages et les envoient au nom d’un détaillant détiennent à la fois les données des clients et les moyens de joindre chacun d’entre eux en même temps. Cette combinaison en fait une cible à part entière. ​​ 

Extorsion avec un public pour témoin

Les groupes d’extorsion commencent généralement par envoyer un message privé à leur victime. Les négociations se déroulent à huis clos, et le public n’apprend l’existence d’une fuite, le cas échéant, que par un site de divulgation ou un dépôt réglementaire. 

Les auteurs de l’attaque contre ASOS ont inversé cet ordre. Ils ont d’abord averti les clients et attiré l’attention des médias et des investisseurs avant même qu’ASOS ait confirmé quoi que ce soit. Même si le groupe ne détenait aucune donnée, une seule notification push a exercé une pression sur ASOS et réduit le délai dont l’entreprise disposait pour s’exprimer publiquement. Ce retard a suscité la méfiance des clients et accentué la pression sur ASOS. 

Le choix du canal aggrave les dommages. Les clients acceptent de recevoir des notifications de l’application parce qu’ils font confiance à l’expéditeur. Les formations à la sensibilisation à la sécurité apprennent à vérifier l’adresse de l’expéditeur ou à survoler un lien, mais un message transmis par l’application authentique sur leur propre téléphone passe ces vérifications. Chaque détournement de ce canal le rend moins fiable pour les messages légitimes qu’un détaillant doit envoyer, notamment pour signaler de futures fuites de données. 

Ce que cela signifie pour les clients

La conséquence la plus probable est une campagne d’hameçonnage. Les criminels exploitent régulièrement la médiatisation d’une fuite en envoyant de fausses offres de remboursement, des demandes de réinitialisation de mot de passe et de faux courriels signalant une fuite, qui renvoient vers des pages conçues pour voler les identifiants. Les clients d’ASOS devraient se méfier de tout message inattendu au sujet de l’incident, éviter le lien Telegram et vérifier leurs comptes en ouvrant directement l’application ou le site web. Changer les mots de passe réutilisés et activer la vérification en deux étapes permettra d’empêcher les tentatives les plus courantes de prise de contrôle de compte avant qu’elles ne commencent. 

Ce que cela signifie pour les détaillants

Les attaquants ne sont pas passés par le site web ou l’application d’ASOS. Ils ont utilisé les identifiants d’un employé et les outils tiers qui y étaient associés. La surface d’attaque d’un détaillant comprend les réseaux d’entreprise et de développement, les plateformes de données clients, les applications SaaS, les comptes de service, les outils de communication ainsi que les fournisseurs connectés à ces environnements. 

Chaque organisation dépend des pratiques de sécurité de ses fournisseurs, ce qui fait de la diligence raisonnable une obligation permanente. Toute intégration d’un fournisseur peut élargir la surface d’attaque d’une organisation et introduire des risques supplémentaires ; chacune doit donc faire l’objet d’une vérification attentive et d’examens réguliers. Les évaluations des risques doivent être réalisées au moment du choix d’un fournisseur, puis à intervalles réguliers, et s’accompagner d’un inventaire clair des comptes de fournisseurs pouvant accéder directement aux clients. Il s’agit d’un effort continu, et non d’un projet ponctuel. Des examens réguliers permettent de tenir cet état des lieux à jour et de repérer les changements susceptibles d’introduire de nouveaux risques. 

Ces examens doivent également déterminer qui a accès aux canaux de communication avec les clients. Les services de notifications push intégrés aux applications de l’enseigne, les passerelles SMS et les plateformes de messagerie électronique peuvent toucher des millions de personnes en quelques secondes. Les détaillants doivent donc tenir un inventaire clair des comptes de fournisseurs capables d’envoyer des messages directement aux clients. Ils doivent protéger ces comptes avec une authentification multifacteur (MFA) résistante à l’hameçonnage et disposer d’une procédure éprouvée pour révoquer rapidement les accès. Garder le contrôle de ces canaux permet également aux détaillants de joindre leurs clients par un moyen fiable et de rétablir les faits en cas de problème.  

La réglementation va dans le même sens. Depuis le 11 septembre 2026, le règlement européen sur la cyberrésilience impose aux fabricants de produits comportant des éléments numériques de signaler à l’ENISA et aux CSIRT nationaux, dans les 24 heures, les vulnérabilités activement exploitées et les incidents graves. Cette exigence rend désormais les détaillants responsables de la sécurité des applications qu’ils proposent, mais les plateformes qui envoient des messages par l’intermédiaire de ces applications relèvent souvent de fournisseurs auxquels la réglementation ne s’applique pas. 

​​Pour ASOS, rétablir la confiance signifie montrer aux clients que leurs données et les canaux utilisés pour les joindre sont sécurisés. Pour les autres détaillants, c’est un rappel sans équivoque : ils doivent examiner l’ensemble de leurs relations avec leurs fournisseurs, comprendre à quoi chaque prestataire peut accéder et s’assurer de pouvoir réagir rapidement en cas d’utilisation abusive de ces accès.​