攻擊者在 2026 年 10 月 6 日騎劫英國時裝零售商 ASOS 官方 app 的推送通知，向用戶發出題為「ASOS HACKED」的勒索訊息。ASOS 其後表示事件起點是 1 個被騙取登入憑證的員工帳戶，攻擊者再用它存取公司使用的若干第三方平台。有保安專家指，行銷及通知平台多由業務部門採購及管理，甚少列入密切監察名單。ASOS 事件突顯這個盲點：能直接向大批客戶發訊息的系統，未必得到與付款系統同等的保護。
起點是 1 個被騙取憑證的員工帳戶，攻擊者其後以 ASOS 名義群發通知
10 月 6 日英國時間上午約 10 時，ASOS app 用戶收到攻擊者發出的推送通知。訊息指明寫給 ASOS 的資料保護主任及 IT 部門，聲稱已完全攻破公司在雲端數據平台 Snowflake 的 instance，要求對方經 Telegram 聯絡，否則外洩資料。惟 Snowflake 本身不負責發送推送通知，所以 snowflake 未必有被攻破。
ASOS 當日發聲明，指事件涉及公司用來與客戶溝通的第三方平台，已即時限制通知平台的存取權限，並表示網站及 app 運作如常。公司在 10 月 8 日向客戶交代更多細節：有未經授權人士冒充 1 名員工信任的聯絡人，騙取該員工的登入憑證，再用這個帳戶存取 ASOS 使用的若干第三方平台上的資料。ASOS 表示已即時鎖定受影響平台，並在內部及外部網絡保安專家協助下展開調查。
ASOS 約有 1,700 萬名客戶（公司數字）及約 2,800 名員工，攻擊者只需取得其中 1 名員工的憑證。實際有多少用戶收到通知、多少客戶的資料受影響，ASOS 至今未公布。
事件公開當日，ASOS 股價在倫敦一度跌逾 10%，收市跌 9.56%。公司表示已購買網絡保安保險，現階段未能量化事件對業務的影響。
行銷及通知平台由業務部門採購，保安團隊未必在場
保安公司 Check Point 的保安架構師 Aaron Rose 指，行銷及通知平台通常由業務部門購買及營運，設定時保安團隊未必在場，這些平台亦甚少列入受密切監察的系統名單。他又指這類平台的登入權限往往很廣，單一帳戶就可向整個客戶群發訊息，而有人一次向所有客戶發送時，通常沒有另一人審批，亦沒有警報。
這是 1 名保安業界人士的經驗之談，沒有統計數據支持，ASOS 的通知平台實際如何設定亦未有公開資料。不過他認為情況並非 ASOS 獨有：「我敢說大部分公司只要去查，都會發現同樣問題。」
保安公司 Arctic Wolf 的 1 名主管亦指，多數機構把大量精力放在保護付款系統、生產環境及存放敏感資料的資料庫，攻擊者卻愈來愈看重面向客戶平台所承載的信任，因此企業應把客戶通訊平台視為關鍵保安基建的一部分。
ASOS 的行銷技術架構有跡可尋。公司曾公開描述行銷團隊使用在 Snowflake 上運作的個人化平台 Simon AI，並配合客戶通訊平台 Braze 觸發推送通知等訊息。ASOS 未有確認今次事件涉及這些平台。
毋須接觸付款系統，攻擊者已可借企業品牌釣魚及公開施壓
攻擊者掌握通知或行銷平台後，即使接觸不到付款系統，仍可用企業名義直接向客戶發訊息。他們可以把客戶引到釣魚網頁，也可以像今次一樣，在客戶面前向企業施壓，迫使公司回應。這些訊息來自客戶本來信任的發送者，收件人未必會起疑。
這類平台本身亦可能存有大量客戶資料。ASOS 確認攻擊者取得部分個人資料，包括姓名及聯絡資料，另有若干非個人的帳戶相關資料，並表示攻擊者未有存取付款卡資料及帳戶密碼。
BBC 檢視攻擊者提供的資料樣本後報道，攻擊者取得的資料還有地址、電話號碼、電郵、客戶編號、出生日期及客戶在網站的搜尋紀錄，範圍比 ASOS 所述為多。該批樣本有否經獨立保安專家驗證，目前未明。
同類手法已有先例。金融科技公司 Betterment 今年較早時被黑客入侵第三方行銷平台，黑客冒充公司向客戶發送加密貨幣騙局訊息，同時取得客戶姓名、電郵及電話等資料。
涉事平台、入侵路徑及有否啟用 MFA 至今仍未有答案
截至 10 月 9 日，攻擊者如何由 1 個員工帳戶取得群發通知的能力，確實路徑仍未獲證實。ASOS 沒有公布涉及哪些第三方平台，相關帳戶有否啟用多重認證（MFA）亦不清楚。
攻擊者向傳媒聲稱經 Simon AI 取得資料，ASOS 及獨立研究人員均未證實這個說法。Snowflake 則表示事件並非由其服務、平台或內部環境的漏洞、弱點或錯誤設定引致，客戶毋須採取補救措施。2024 年針對 Snowflake 客戶的大規模事件中，攻擊者用被盜憑證直接登入沒有強制啟用 MFA 的客戶帳戶，沒有攻破平台本身；ASOS 今次是否屬同類情況，現時無從判斷。
攻擊者的來歷同樣成疑。他們自稱 Xuanye Group，保安公司 Sophos 指這個名稱此前未見於黑客討論區或其他 Telegram 頻道；保安公司 Group-IB 發現通知所附的 Telegram 頻道在 10 月 6 日才開設，背後帳戶曾使用與遊戲道具交易有關的名稱。該組織聲稱 2 星期內不會動用資料，但其身份及說法均沒有獨立證據支持。
ASOS US 今年 7 月曾發生另一宗保安事件，疑涉撞庫攻擊（credential stuffing），影響近 14 萬人。據 Check Point 的威脅情報簡報，兩宗事件看來沒有關連。
香港企業保安主管要把通知平台納入權限、審批、監察及 MFA 檢查
ASOS 的通知平台實際如何失守仍未清楚，但本地企業已可對照自己的情況。保安及行銷團隊可先盤點哪些帳戶能向全體客戶發送推送通知、電郵或 SMS，按職能收窄權限，並檢視這些帳戶可匯出多少客戶資料。群發訊息前能否加入另一人審批、發送量異常時有否警報，要向供應商查問平台是否支援。
業務部門採購的行銷、CRM 及通知平台是否已列入保安團隊的資產清單及登入監察範圍，採購流程有否包括保安評估，同樣值得檢視。所有可登入第三方平台的員工帳戶宜強制啟用 MFA。按 ASOS 的說法，今次的起點是有人冒充受信任聯絡人騙取憑證，員工收到索取登入資料的要求時如何核實對方身份，內部程序要重新檢視。企業也可趁機確認，客戶資料外洩時的通報安排是否符合《個人資料（私隱）條例》等本地要求。
客戶通訊渠道承載品牌信任，保安分級要跟上
今次攻擊者除了取得資料，還借用企業自己的客戶渠道公開施壓，客戶通訊平台的保安級別理應與付款系統及核心資料庫看齊。接下來要看 ASOS 會否公布涉事平台、入侵路徑及受影響人數，以及攻擊者聲稱的 2 星期期限過後，有否資料流出。
