概要
英アパレル大手ASOSのモバイルアプリを通じて、10月6日朝(米東部時間午前5時頃、英国時間午前10時頃)に「ASOS HACKED」と題した不正なプッシュ通知が数百万人の顧客に送信された。通知には「Dear Asos DPO and IT, we have fully compromised the Snowflake instance. Engage with us, or we will leak it.」という文言とTelegramチャンネルへのリンクが含まれ、同社のデータ保護責任者(DPO)とIT部門を名指しで脅迫する内容だった。ASOSはこの攻撃者の主張自体は確認していないものの、顧客とのコミュニケーションに使用する第三者プラットフォームへの不正アクセスを調査した結果、氏名や連絡先などの基本的な個人情報が流出した可能性があることを確認した。支払いカード情報やアカウントのパスワードには影響がないとしている。
攻撃の経緯と主張の内容
犯行声明を出したのは「Xuanye Group」(Xuanye Wen Gateway)と名乗る、これまで知られていなかったグループだ。Reddit上でも複数の顧客が同様の通知を受け取ったと報告しており、Androidアプリのダウンロード数が1,000万件を超えることから、通知は広範囲に配信されたとみられる。攻撃者はSnowflakeインスタンスを完全に侵害したと主張しているが、具体的な流出データの件数や侵害の証拠は提示していない。The Registerが指摘するように、通知が送信された事実自体は、送信者がASOSのSnowflakeインスタンスや機密性の高い顧客データに実際にアクセスしたことを証明するものではなく、攻撃者の主張は現時点で未検証である。なお通知がどのような経路で配信されたかについても、詳細は明らかになっていない。
企業側の対応とSnowflakeの見解
ASOSは10月6日17時42分(UTC)に攻撃を認め、「顧客とのコミュニケーションに使用している第三者プラットフォームに関する不正な活動を調査している。通知プラットフォームへのアクセスを直ちに制限し、社内外の専門アドバイザーおよび関係当局と協力している」との声明を発表した。あわせてアプリ内に、不正な通知を無視するよう顧客に注意を促す警告を表示した。同社は「ウェブサイトとアプリは通常通り稼働しており、事業運営への支障は現時点で生じていない」とし、事業継続をカバーするサイバー保険にも加入していると説明している。一方、名指しされたSnowflakeは10月7日8時45分(UTC)に声明を出し、「自社プラットフォームの侵害は確認されていない」と反論、調査を継続中だとした。この件を受けASOSの株価は約12%下落した。
想定される影響
ASOSが現時点で確認しているのは氏名や連絡先といった基本的な個人情報の流出可能性のみだが、セキュリティ専門家は、ASOSがマーケティングにSnowflake上のSimon AIを利用している点を指摘し、閲覧履歴や購入履歴、位置情報、ロイヤルティステータスといった詳細な顧客プロファイリングデータまで及ぶ可能性があると懸念している。支払いカード情報やパスワードは影響を受けていないと説明されているが、攻撃者の主張の真偽やデータ流出の実際の範囲は、ASOSと第三者プラットフォーム双方の調査結果が明らかになるまで不透明なままだ。