英国时尚电商 ASOS 于 2026 年 10 月 8 日向客户确认发生数据泄露：攻击者通过社会工程手段冒充可信联系人，骗取了一名员工的登录账号，再借该账号访问 ASOS 使用的多个第三方平台，窃取了部分客户个人信息。公司强调支付卡信息与账号口令没有被获取，网站与 App 本身也未受影响。
事件概述
事件在本周早些时候已经浮出水面。ASOS 客户手机上的官方 App 收到一条标题为 ASOS HACKED 的推送，内容指向一个 Telegram 账号，并声称已完整拿下其数据仓库实例，要求公司与攻击方接触，否则将公开数据。这相当于攻击者直接借平台自己的推送通道对外发布勒索信息。ASOS 在事发后封锁了相关第三方平台，并在 48 小时内完成初步调查，随后向客户发出提醒邮件。
技术细节
入侵起点不是技术漏洞，而是人。攻击者冒充可信联系人取得员工凭据，属于典型的凭证钓鱼加冒充身份套路。真正让损失扩大的环节在身份边界：该员工账号被授予了跨多个第三方平台的访问权限，一次口令泄露就同时打开了多扇门。据英国广播公司了解，泄露数据包含客户姓名、地址、电话、邮箱、客户编号与出生日期，以及网站搜索历史；ASOS 官方口径则是姓名与联系方式，以及某些与账号相关但非个人化的信息，两处说法存在差异。
攻击者宣称通过名为 Simon AI 的 Snowflake 相关平台实施窃取。Snowflake 在启动调查后回应称，未发现其平台遭到整体性入侵。这一分歧本身值得记录：目前尚无证据表明云数据仓库本身存在被利用的漏洞，问题更可能出在第三方平台侧的身份与权限配置。
影响评估
丢掉的不是金融数据，而是让骗局看起来可信所需的素材。姓名、联系方式再加上购物与搜索行为，足以拼出极具说服力的钓鱼话术：冒充客服、冒充物流、冒充退款通知的诈骗会顺着这些信息精准落地。安全厂商 ESET 的顾问指出，这类数据对诈骗者的价值可以持续多年，因为它能让第一次接触显得毫不突兀。对零售企业而言，这起事件的核心教训是：把客户数据托付给第三方平台时，员工账号的权限范围往往决定了单点失守能波及多少人。
修复建议
- 对员工开展冒充类社会工程的针对性演练，重点覆盖可信联系人索取登录凭据的情形。
- 所有第三方平台强制启用多因素认证，并按最小权限原则拆分账号，避免一个员工账号横向打通全部数据系统。
- 监控并保护自有推送通道与客服渠道，防止攻击者借官方 App、邮件模板对外发布信息。
- 向客户发布明确提示：警惕自称来自 ASOS 的陌生来电与消息，官方不会通过非请求消息索取口令、验证码或支付信息。