Les clients d'ASOS ont reçu une notification disant que la boutique avait été piratée. Elle était authentique.

Vers dix heures du matin mardi, les clients britanniques d'ASOS ont senti leur téléphone vibrer. La notification venait bien de l'application ASOS, et il n'était pas question de soldes. Elle était adressée au délégué à la protection des données de l'enseigne elle-même.

"Chers DPO et service informatique d'Asos, nous avons entièrement compromis l'instance Snowflake. Discutez avec nous, ou nous la divulguerons." Signée d'un pseudonyme, avec un lien vers une chaîne Telegram. ASOS a depuis confirmé que des plateformes tierces utilisées pour communiquer avec les clients avaient été consultées sans autorisation, dit avoir immédiatement restreint les accès et travaille avec des spécialistes et les autorités. Des informations personnelles de base, noms et coordonnées, ont pu être exposées. Les données de carte bancaire et les mots de passe de compte ne l'ont pas été, selon le distributeur. Snowflake, l'entreprise d'entrepôts de données citée dans le message, indique que son enquête n'a pour l'instant révélé aucune compromission de sa plateforme.

Ce qui rend cette affaire intéressante, c'est le canal utilisé. Une notification envoyée par une application que vous avez installée vous-même est à peu près ce qu'il y a de plus digne de confiance, et quelqu'un d'autre a pu s'en servir. Même si rien de plus que des noms et des adresses e-mail a bougé, c'est exactement la matière première des prochaines semaines de faux courriels "mise à jour de sécurité ASOS" très convaincants. Partez du principe qu'ils arrivent. Si un message sur le sujet atterrit chez vous, ne suivez pas son lien : ouvrez l'application ou tapez l'adresse vous-même et cherchez l'avis là-bas.

ASOS n'a pas non plus dit combien de clients étaient concernés, alors gardez un oeil sur vos e-mails de commande. Et si l'un de ces messages de suivi a déjà été cliqué, la vérification de sécurité de Tendvane permet de voir rapidement ce qui est arrivé sur le PC ensuite.