L’application d’ASOS a annoncé l’intrusion à ses propres clients

Dans la matinée du 6 octobre 2026, certains clients d’ASOS ont reçu une notification poussée de l’application ASOS qu’ASOS n’avait pas envoyée. L’entreprise a ensuite dit que la voie d’entrée était un compte d’employé : quelqu’un s’est fait passer pour un contact de confiance, a obtenu l’identifiant de cet employé et l’a utilisé sur des plateformes tierces qu’ASOS utilise pour communiquer avec ses clients.

Si vous n’avez jamais acheté chez ASOS, ce n’est pas votre compte. Si vous l’avez fait, le National Cyber Security Centre du Royaume-Uni dit de présumer que vous êtes concerné même si vous n’avez jamais vu la notification.

Ce qu’ASOS a dit

Le premier énoncé public était un avis à la Bourse de Londres à 15 h 15 le 6 octobre. Il disait qu’une notification non autorisée aux clients était partie vers 10 h ce jour-là, qu’ASOS enquêtait sur une activité non autorisée sur des plateformes tierces qu’elle utilise pour parler à ses clients, et qu’elle avait coupé l’accès aux plateformes de notification. À ce moment, ASOS disait que des renseignements personnels de base, dont le nom et les coordonnées, pouvaient avoir été consultés. Elle ne croyait pas que les renseignements de carte de paiement ou les mots de passe de compte avaient été touchés. Le site et l’application fonctionnaient encore.

La note plus tardive sur la page clients d’ASOS est plus nette, et elle ajoute la voie. Une partie non autorisée est entrée dans un compte d’employé en se faisant passer pour un contact de confiance afin d’obtenir l’identifiant. Ces identifiants ont été utilisés sur certaines plateformes tierces. L’enquête, a dit ASOS, a trouvé un accès à certains renseignements personnels, dont les noms et les coordonnées, et à certains renseignements de compte non personnels. Elle a redit qu’aucun renseignement de carte de paiement et aucun mot de passe de compte n’avaient été consultés. ASOS a dit qu’il n’y a rien à faire sur le compte ASOS lui-même, et qu’elle écrira directement aux clients si une étape ultérieure de l’enquête dit qu’ils ont besoin d’autre chose.

Dans ces deux énoncés, ASOS ne nomme pas la plateforme et ne dit pas si l’usurpation était un appel, un courriel ou autre chose. Elle ne donne pas un nombre de clients. Un article qui comble ces trous va plus loin que ce que l’entreprise a confirmé.

La note du NCSC correspond à la description de l’entreprise et ajoute la consigne que l’entreprise laissait implicite : si vous êtes client d’ASOS, présumez que vous êtes concerné, y compris si la notification n’est jamais arrivée.

Pourquoi la notification compte

L’intrusion a été annoncée aux clients par un canal qu’ils avaient déjà accepté de croire. C’est utile pour les gens qui détiennent les données. Quiconque envoie ensuite un texto du genre « ASOS à l’appareil, confirmez votre carte pour protéger le compte » emprunte une histoire que la victime a déjà entendue dans la vraie application.

La page d’ASOS dit que l’entreprise ne demandera pas de mots de passe, de codes de sécurité ou de renseignements de paiement dans un message ou un appel non sollicité. Le conseil général du NCSC après une fuite a la même forme : confirmez que vous êtes concerné à partir du site de l’organisation, puis surveillez le contact qui suit. Nous avons décrit la version téléphonique de ce schéma dans les appels derrière les grands vols de cette année. ASOS n’a pas dit que cet incident était un appel. Le point commun est l’usurpation de quelqu’un que l’employé était censé croire.

Les numéros de carte et les mots de passe ASOS ne sont pas ce qu’ASOS dit avoir été consulté. Changer votre mot de passe ASOS n’est pas le correctif que l’entreprise a demandé. Changer un mot de passe que vous avez réutilisé sur d’autres sites reste raisonnable si vous ne vous souvenez plus où il est allé, parce que des coordonnées plus un mot de passe réutilisé sont une suite fréquente. Ce n’est pas une étape qu’exige l’avis d’ASOS.

Quoi faire

1. Lisez la page d’ASOS, pas un lien dans un texto. La mise à jour clients se trouve sur asos.com. Un message qui mène ailleurs, ou qui demande un code ou une carte, est la suite, pas l’avis.
2. Si vous êtes client, présumez que votre nom et vos coordonnées étaient disponibles, même sans la notification. C’est la ligne du NCSC. Cela ne veut pas dire que votre numéro de carte a été pris. ASOS dit que non.
3. Ne « vérifiez » pas le compte en saisissant un mot de passe ou une carte dans un formulaire que quelqu’un vous a envoyé. ASOS dit qu’il n’y a rien à faire sur le compte, et qu’elle écrira aux gens si cela change.
4. Si vous êtes au Canada et que vous y avez magasiné, les mêmes messages s’appliquent. Aucun dépôt canadien distinct ne figure dans les avis ci-dessus. Un courriel inattendu qui cite l’incident ASOS et demande un paiement est ce qu’il faut ignorer. Nos notes sur quoi faire après une fuite couvrent le reste : surveillez le compte que vous avez vraiment, et ne remettez pas une deuxième copie de vos renseignements à un inconnu qui mentionne la première fuite.

Sources

• ASOS Plc, « Update regarding cyber incident » (en anglais), Regulatory News Service, 6 octobre 2026
• ASOS, « Unauthorised notification : customer update » (en anglais)
• National Cyber Security Centre du Royaume-Uni, « Incident affecting ASOS customers » (en anglais)