勒索通知竟通过你自己的应用发来

10月6日上午，英国及其他几个市场的 ASOS 应用用户收到了一条零售商推送通知。平时，他们会通过这款应用收到新品上架和折扣码等消息，而这次的通知却写着“ASOS 被黑了”。通知发给了公司的 Data Protection Officer (DPO) 和 IT 团队，声称攻击者“已完全攻破 Snowflake 实例”，并威胁称，除非 ASOS 通过 Telegram 频道联系他们，否则就会泄露数据。 

不到一小时，ASOS 股价已下跌逾 10%。攻击者尚未公布任何一条记录。 

目前已知情况

当天下午，ASOS证实已发送未经授权的通知，并表示正在调查其用于与客户沟通的第三方平台上的活动。公司限制了对这些平台的访问，并表示姓名和联系方式可能已经泄露。公司认为，支付卡数据和账户密码并未受到影响。 

10月8日，该公司解释了攻击者是如何入侵的。有人冒充可信联系人，诱使一名 ASOS 员工交出了其工作账户的登录凭据。这些凭据让攻击者得以访问客户沟通平台。ASOS 已将事件通报给 Information Commissioner’s Office，该机构正在评估此次事件。 

​​关于 Snowflake 遭入侵的说法尚未得到证实。Snowflake 表示，其调查未发现其平台遭到入侵；而发布这条消息的团伙自称 Xuanye Group，至今没有公布任何样本数据。未来几天是否会出现样本记录，将在很大程度上决定这一问题的答案。与此同时，英国国家网络安全中心 (NCSC)建议 ASOS 客户假定自己可能受到影响，无论是否收到过该通知。​​​ 

AI 提高了风险门槛

​​这起事件的影响远不止表面数据所显示的程度。越来越多的零售商利用 AI 推动个性化服务，并将行为、交易和人口统计数据集中到单一客户档案中。​这些档案有助于提供更精准的推荐和更贴合需求的营销内容。但落入攻击者手中，它们也能让欺诈活动更加精准。​​     ​​ 

​​​​攻击者不再需要手动编写量身定制的诱骗信息。在一项有 7,700 多名参与者参加的实地实验中，BIFOLD 和 TU Berlin 的研究人员与 Inria 和 Ruhr University Bochum 合作，发现 个性化的 AI 生成钓鱼信息，其点击率是通用钓鱼信息的 2.4 倍​。​​ 

​​​ASOS 事件的核心沟通工具也值得同等重视。客户互动平台能够代表零售商对客户分群、提供个性化服务并发送消息；这类平台既掌握客户数据，也具备同时触达每位客户的能力。这两者结合，使平台本身也成了攻击目标。​​ 

面向公众的勒索

勒索团伙通常会先私下联系受害者。谈判在幕后进行；如果公众得知了数据泄露事件，往往也是通过泄露网站或监管申报获悉。 

ASOS 的攻击者颠倒了这一顺序。他们先通知客户，又让媒体和投资者在一旁关注，而此时 ASOS 还未确认任何情况。即使该团伙根本没有掌握任何数据，一条推送通知也足以给 ASOS 造成市场压力，并压缩其公开回应的时间。这种延迟令客户产生疑虑，也给 ASOS 带来了市场压力。 

所选渠道进一步加剧了损害。客户选择接收应用通知，是因为他们信任发送方。安全意识培训会教人们核对发件人地址或将鼠标悬停在链接上，但如果消息是通过他们手机上真正的应用送达，这些检查就形同虚设。每一次对该渠道的滥用，都会削弱人们对其可靠性的信任，也让零售商更难通过它发送真正需要传达的消息，包括未来的泄露事件通知。 

这对客户意味着什么

最有可能出现的后续风险是网络钓鱼。犯罪分子经常利用数据泄露事件引发的关注，发送虚假的退款优惠、密码重置请求和泄露事件通知邮件，诱使受害者进入窃取登录凭据的页面。ASOS 客户应对任何有关此次事件的意外消息保持警惕，避免点击 Telegram 链接，并直接打开应用或网站检查账户。更改重复使用的密码并启用两步验证，可以在常见的账户接管攻击开始前加以阻止。 

这对零售商意味着什么

攻击者并非通过 ASOS 网站或应用程序入侵，而是利用员工的凭证，以及与这些凭证关联的第三方工具。零售商的攻击面包括企业网络和开发网络、客户数据平台、SaaS 应用程序、服务账户、通信工具，以及连接到这些环境的供应商。 

每个组织都依赖供应商的安全实践，因此，尽职调查是一项持续的责任。每项供应商集成都可能扩大组织的攻击面并带来额外风险，因此都需要经过仔细审查并定期复核。选择供应商时应进行风险评估，此后也应定期评估，同时明确记录哪些供应商账户能够直接联系客户。这是一项持续工作，而非一次性项目。定期复核有助于及时更新对情况的了解，并发现可能带来新风险的变化。 

这些复核还应涵盖哪些人能够访问客户沟通渠道。通过自有应用程序发送推送通知的服务、短信网关和电子邮件平台，几秒钟内就能触达数百万人，因此零售商需要明确记录哪些供应商账户能够直接向客户发送消息。他们应使用抗钓鱼的多因素身份验证（MFA）保护这些账户，并制定经过测试、能够迅速撤销访问权限的办法。掌控这些渠道还能让零售商拥有可信的方式联系客户，并在出现问题时澄清事实。  

监管要求也在推动各方朝同一方向前进。自2026年9月11日起，欧盟《网络韧性法案》要求数字元素产品的制造商在24小时内向ENISA和各国计算机安全事件响应小组（CSIRT）报告遭到主动利用的漏洞和严重事件。这项要求如今使零售商也必须对其发布的应用程序安全负责，但通过这些应用程序发送消息的平台往往由不受该法规约束的供应商运营。 

​​对于 ASOS 而言，重建信任意味着要让客户相信，他们的数据以及用于联系他们的渠道都安全可靠。对于其他零售商来说，这是一个严厉的提醒：要全面审视与供应商的合作关系，了解每家服务商能够访问哪些内容，并确保在访问权限遭到滥用时能够迅速应对。​