L’incident ASOS : comment l’ingénierie sociale a transformé des identifiants compromis en risque pour l’entreprise

L’essentiel

Cinq enseignements à retenir pour les responsables de la sécurité.

Des identifiants valides peuvent suffire à mener une attaque. ASOS indique qu’une partie non autorisée a obtenu les identifiants d’un employé en se faisant passer pour un contact de confiance. Sa déclaration publique décrit un vol d’identifiants par usurpation d’identité et ne mentionne aucun logiciel malveillant, ce qui ne permet toutefois pas d’exclure l’utilisation d’autres outils au cours de l’incident.
C’est l’étendue des accès qui détermine l’impact. Les identifiants ont permis d’accéder à certaines plateformes tierces, notamment, selon ASOS, à celle utilisée pour communiquer avec les clients. C’est ainsi qu’un message a pu être diffusé au nom de la marque.
Une activité malveillante peut se fondre dans une activité légitime. Pour la détecter, il faut connaître les habitudes de l’identité concernée, les ressources auxquelles elle accède et les changements intervenus.
Le renseignement sur les menaces n’a de valeur que s’il conduit à une action. Chaque signal doit aider à décider : enquêter, révoquer un accès, réinitialiser des identifiants, restreindre des permissions ou escalader.
Cinq mesures réduisent à la fois le risque et son impact : authentification résistante à l’hameçonnage, moindre privilège, surveillance des identités, renseignement sur l’exposition des identifiants et procédures de confinement éprouvées.

ClairSec n’a pas accès aux informations internes d’ASOS. Cet article s’appuie sur les déclarations publiques de l’entreprise et sur les informations rapportées par la presse. L’enquête étant toujours en cours, les éléments disponibles peuvent évoluer.

1. Ce que l’on sait de l’incident ASOS

Il est essentiel de distinguer les faits confirmés par ASOS, les informations rapportées par la presse, les revendications des attaquants et les éléments qui n’ont pas été rendus publics.

Confirmé par ASOS	Le 6 octobre, certains clients ont reçu une notification non autorisée. Selon ASOS, une partie non autorisée s’est fait passer pour un contact de confiance afin d’obtenir les identifiants d’un employé, puis les a utilisés pour accéder à des informations hébergées sur certaines plateformes tierces. Les plateformes concernées ont été sécurisées, et ASOS a ensuite restreint l’accès à la plateforme tierce utilisée pour communiquer avec ses clients. Dans sa mise à jour publiée, ASOS a indiqué que des noms, des coordonnées et certaines informations de compte non personnelles avaient été consultés, et The Guardian rapporte que l’entreprise a confirmé, le 8 octobre, l’accès à des adresses de livraison et électroniques ainsi qu’à des numéros de téléphone. À la date de cette mise à jour, ASOS indiquait que son enquête n’avait révélé aucun accès aux données de cartes de paiement ni aux mots de passe des comptes, et que son site web et son application étaient restés sûrs. L’enquête, menée avec des experts externes, les forces de l’ordre et les autorités de régulation, se poursuit : ces conclusions doivent donc être comprises comme un état des lieux à une date donnée.
Informations rapportées par la presse	Selon la presse, la notification portait le titre « Asos hacked » et renvoyait vers un canal Telegram. Selon The Guardian, les informations de compte qualifiées de « non personnelles » seraient, d’après ce que l’on comprend, l’historique récent des recherches des clients, comme l’avait d’abord rapporté la BBC, que les attaquants ont contactée. La BBC et Malwarebytes mentionnent également des dates de naissance, des numéros de client et des dates de création de compte. La mise à jour web d’ASOS ne détaille pas ces champs : ils doivent donc être attribués aux sources médiatiques qui les rapportent, et non présentés comme une confirmation directe de l’entreprise. ASOS n’a pas publié de chiffre officiel sur le nombre de clients concernés, même si The Guardian évoque des millions de personnes. Des experts cités par The Guardian estiment que l’étendue de ces données pourrait servir à concevoir des messages d’hameçonnage très crédibles. Pour connaître les informations les plus récentes, consultez la mise à jour officielle d’ASOS.
Revendications des attaquants	Un groupe se présentant sous le nom de Xuanye Group a revendiqué l’envoi de la notification, qui faisait référence à un message affirmant que l’instance Snowflake avait été « entièrement compromise » et menaçant de divulguer des données. Des articles publiés par la suite indiquent que les attaquants ont cité Simon AI, une plateforme de personnalisation client reposant sur Snowflake, comme environnement auquel ils auraient accédé. ASOS n’a publiquement confirmé ni la plateforme précise concernée ni le scénario d’intrusion décrit par les attaquants. Snowflake a déclaré que l’incident ne résultait d’aucune vulnérabilité, faiblesse, faille ou mauvaise configuration de son service, de sa plateforme ou de ses environnements internes. Les déclarations des attaquants ne constituent donc pas une preuve que la plateforme Snowflake elle-même a été compromise.
Ce qui reste incertain	ASOS n’a pas publiquement confirmé les plateformes précises auxquelles les attaquants ont accédé, le nombre de clients touchés, l’étendue complète des données concernées ni le volume de données éventuellement extraites. La presse a évoqué des échantillons de données présentés par les attaquants, mais ces publications ne permettent pas de vérifier indépendamment l’ensemble de leurs affirmations. La configuration de l’authentification multifacteur du compte concerné et la durée de l’accès non autorisé n’ont pas non plus été confirmées.

Pour les équipes de défense, l’enchaînement essentiel est le suivant : un appel ou un message reposant sur l’usurpation d’identité a permis d’obtenir des identifiants. Ceux-ci ont ensuite ouvert l’accès à des plateformes externes au site et à l’application d’ASOS, dont l’une pouvait communiquer directement avec les clients. Les clients ont donc reçu un message provenant de l’application même de la marque : la confiance accordée à l’entreprise est devenue un vecteur de l’attaque.

Un risque supplémentaire en découle. Selon des experts cités par The Guardian, l’historique des recherches, combiné aux rappels habituellement envoyés par ASOS au sujet des articles consultés, pourrait permettre de concevoir des messages d’hameçonnage imitant ceux de la marque : les clients concernés pourraient ainsi être exposés à des tentatives d’escroquerie ciblées. ASOS a rappelé à ses clients qu’elle ne leur demanderait jamais de communiquer leurs mots de passe, codes de sécurité ou données de paiement en réponse à un message ou à un appel non sollicité.

2. L’identité est devenue une surface d’attaque

Les programmes de sécurité protègent depuis longtemps les terminaux, les réseaux, les applications et les serveurs. Ces contrôles restent indispensables. Mais les organisations reposent également sur des identités et des autorisations qui relient les employés aux plateformes cloud, aux applications SaaS, aux bases de données clients et aux prestataires externes. Un seul compte employé peut donc donner accès à un périmètre bien plus large que le poste de travail de son titulaire.

Le risque augmente lorsque les comptes disposent de privilèges excessifs, lorsque les mécanismes d’authentification varient d’un service à l’autre ou lorsque des intégrations tierces peuvent accéder à des informations sensibles. Dans ce contexte, une connexion légitime ne ressemble pas à une infection par logiciel malveillant : l’attaquant peut utiliser un navigateur classique, des identifiants valides et des interfaces autorisées.

Pour une équipe de sécurité, la difficulté consiste à distinguer une session légitime d’une session contrôlée par un attaquant qui utilise une identité légitime.

3. Comment des identifiants compromis deviennent un incident pour l’entreprise

Le scénario suivant illustre une chaîne d’attaque possible dans une organisation utilisant plusieurs plateformes cloud. Il ne prétend pas que chacune de ces étapes s’est produite chez ASOS : la déclaration publique de l’entreprise n’en décrit que les grandes lignes. Les signaux de la dernière colonne, comme une nouvelle méthode MFA, la réutilisation d’un jeton, des exports en masse ou des changements de privilèges, sont des pistes de détection possibles, pas des événements confirmés dans l’incident ASOS.

Étape	Action de l’attaquant	Signaux possibles pour les défenseurs
1. Premier contact	Se fait passer pour un collègue, un fournisseur, un membre du support informatique ou un autre contact de confiance, par téléphone ou par message, afin d’obtenir des identifiants ou de faire approuver une demande d’accès.	Demandes inhabituelles au support, tentatives de réinitialisation du mot de passe ou de la MFA, signalements d’employés, journaux d’appels et de messages.
2. Compromission du compte	Se connecte avec des identifiants valides ou réutilise une session ou un jeton volé : aucun logiciel malveillant n’est nécessaire sur le poste de l’employé.	Connexions inhabituelles ou géographiquement incohérentes, à interpréter selon le contexte de l’appareil, de la session et de l’identité car les VPN et proxys peuvent générer de faux positifs ; nouvelle méthode MFA ; même jeton utilisé depuis deux endroits.
3. Extension de l’accès	Explore les applications et intégrations accessibles : messagerie, communication client, consoles cloud ou plateformes de données.	Première connexion à une application, création de jetons API, nouvelles autorisations d’applications ou consultation inhabituelle d’un grand nombre d’enregistrements.
4. Impact sur l’entreprise	Consulte des données clients, récupère des documents, envoie des messages au nom de l’organisation ou modifie des paramètres.	Exports massifs, messages sortants non autorisés ou modifications de configuration inattendues.
5. Détection et confinement	L’organisation identifie le compte concerné, détermine les ressources consultées, révoque les sessions et identifiants compromis et vérifie les comptes liés.	Délai de révocation et capacité des journaux à établir précisément les accès effectués.

4. Pourquoi les contrôles classiques peuvent passer à côté des signaux

Une organisation disposant d’un programme de sécurité mature utilise souvent déjà des solutions EDR, un SIEM, l’authentification multifacteur et des outils d’analyse des vulnérabilités. Ces dispositifs restent essentiels, mais aucun ne fournit à lui seul une visibilité complète sur les compromissions d’identité. Quatre angles morts méritent une attention particulière.

Des identifiants valides peuvent masquer une activité malveillante. La présence d’une connexion ne suffit pas à identifier une attaque. La détection nécessite de comprendre le comportement habituel de l’identité, les ressources auxquelles elle accède, les schémas d’authentification inhabituels et les changements d’activité.
Les accès tiers élargissent le périmètre d’impact. Les applications et prestataires externes disposent souvent d’autorisations sur les systèmes internes. Lorsque ces droits sont mal gouvernés, une seule identité peut exposer des informations réparties sur plusieurs plateformes. Les équipes doivent savoir quels comptes et intégrations accèdent aux données sensibles, pourquoi ces accès existent et s’ils sont toujours nécessaires.
Les canaux qui s’expriment au nom de l’entreprise sont des cibles à fort impact. Une plateforme de messagerie client ou de notifications bénéficie de la confiance accordée à la marque. Si un attaquant la contrôle, les conséquences réputationnelles peuvent être immédiates, avant même que l’étendue de l’exposition des données soit établie. Ces plateformes doivent donc bénéficier d’accès strictement contrôlés et d’une journalisation adaptée.
Le renseignement externe reste parfois déconnecté de la réponse aux incidents. Des identifiants d’employés peuvent apparaître dans une fuite externe, ou une activité suspecte peut viser le domaine de l’organisation. Si ces signaux ne sont pas rapprochés des données de surveillance des identités et des accès, une occasion de détecter l’attaque en amont peut être perdue. Le renseignement externe apporte une réelle valeur lorsqu’il contribue à une décision opérationnelle concrète.

5. Cinq mesures à prioriser

Les recommandations ci-dessous ne décrivent pas la configuration de sécurité interne d’ASOS, qui n’est pas publique. Empêcher toute tentative d’ingénierie sociale est irréaliste, mais il est possible de réduire la probabilité d’une compromission et d’en limiter les conséquences. Pour chaque mesure, nous indiquons une première action à mener ce trimestre et un moyen de vérifier son efficacité.

Mesure	Première action ce trimestre	Indicateur de réussite
1. Déployer une authentification résistante à l’hameçonnage	Faire migrer les comptes privilégiés et les comptes d’administration SaaS vers des clés de sécurité FIDO2 ou des clés d’accès (passkeys), supprimer les mécanismes de repli par SMS ou approbation de notification lorsqu’ils peuvent contourner la protection principale, et exiger une vérification par un second canal pour les demandes de réinitialisation et les opérations sensibles du support.	Les tests confirment qu’aucun compte sensible ne peut encore contourner les protections prévues par un parcours d’authentification hérité, de récupération de compte ou de repli, et qu’une simple demande téléphonique ne suffit pas à faire aboutir une réinitialisation.
2. Appliquer le principe du moindre privilège au SaaS et au cloud	Inventorier les comptes employés, comptes de service, jetons API et intégrations tierces, supprimer les accès inutilisés et réexaminer les autorisations permettant d’accéder aux données clients ou opérationnelles.	Pour chaque plateforme sensible, l’organisation peut identifier les comptes qui y accèdent, justifier leurs permissions et démontrer que les droits font l’objet de révisions régulières.
3. Surveiller le comportement des identités, pas uniquement les logiciels malveillants	Corréler les journaux de connexion, l’activité des sessions, les changements de privilèges et les accès aux données entre les différentes plateformes, et définir des alertes pour les accès inhabituels aux systèmes contenant des données clients ou capables d’envoyer des communications au nom de l’entreprise.	Un scénario de test impliquant un accès inhabituel à une plateforme de données clients déclenche une alerte exploitable, et l’enquêteur peut suivre l’activité de l’identité concernée d’un service à l’autre.
4. Mettre en place une veille sur l’exposition des identifiants	Surveiller les sources pertinentes afin de repérer les identifiants professionnels exposés, valider chaque signal, vérifier si le compte est toujours actif et s’il dispose de privilèges, puis coordonner les suites à donner avec les équipes chargées des identités et de la réponse aux incidents.	Chaque signal validé aboutit, dans un délai défini, à une décision documentée : enquêter, réinitialiser, révoquer, restreindre ou clore avec une justification.
5. Préparer un confinement rapide	Documenter les procédures permettant de désactiver une identité, de révoquer des sessions et des jetons, de renouveler des secrets exposés, de réexaminer les accès tiers et de préserver les preuves, en incluant les plateformes susceptibles de communiquer directement avec les clients.	Un exercice sur table a été réalisé au cours du dernier trimestre, les délais de confinement ont été mesurés et les lacunes identifiées ont donné lieu à des actions correctives.

6. Transformer les alertes sur les identifiants en décisions concrètes

Collecter des renseignements sur les menaces ne suffit pas à réduire le risque. Les alertes concernant des identifiants divulgués, des domaines suspects, des campagnes d’hameçonnage ou des menaces visant un secteur peuvent rapidement devenir du bruit si elles ne sont pas validées, hiérarchisées et intégrées à un processus de réponse. Une capacité de renseignement efficace relie les signaux externes à l’environnement réel de l’organisation.

Lorsqu’un identifiant professionnel est potentiellement exposé, posez-vous les questions suivantes :

Le compte est-il toujours actif ?
Dispose-t-il de privilèges élevés ?
Observe-t-on une activité de connexion ou de session inhabituelle ?
Quelles applications et plateformes tierces peut-il atteindre ?
Quelle mesure d’enquête ou de confinement est appropriée ?

Deux précautions sont essentielles. La présence d’un identifiant dans une fuite ne prouve pas que le compte a été compromis. À l’inverse, l’absence de fuite connue ne garantit pas sa sécurité. Les organisations qui ne disposent pas d’une équipe dédiée au renseignement sur les menaces peuvent s’appuyer sur un service de renseignement sur les cybermenaces managé, couvrant la surveillance, l’analyse et le reporting, afin de relier les menaces externes aux opérations de sécurité internes.

7. Les questions auxquelles tout responsable de la sécurité devrait pouvoir répondre

Savons-nous où nos identifiants professionnels risquent d’être exposés ?
Pouvons-nous détecter les accès inhabituels à nos principales plateformes SaaS et cloud ?
Avons-nous réexaminé les autorisations accordées aux applications tierces, notamment celles qui communiquent avec nos clients ?
Pouvons-nous corréler le renseignement externe avec les données internes de surveillance des identités ?
Disposons-nous d’une procédure éprouvée pour contenir rapidement un compte compromis ?
Pouvons-nous démontrer que les risques identifiés donnent lieu à des mesures correctives ?

Si ces questions restent sans réponse claire, le problème ne tient pas nécessairement à l’absence d’un outil. Il peut provenir d’un manque de visibilité, d’une hiérarchisation insuffisante ou d’une coordination imparfaite entre les équipes.

Conclusion : protéger les identités, pas seulement les terminaux

L’incident ASOS, tel que l’entreprise l’a décrit jusqu’ici, illustre comment l’ingénierie sociale et le vol des identifiants d’un employé peuvent conduire à des accès non autorisés sur des plateformes tierces, avec des conséquences qui dépassent largement le compte initialement compromis. La protection des identités doit être une priorité permanente : authentification renforcée, moindre privilège, surveillance comportementale, renseignement externe et procédures de réponse éprouvées.

L’objectif ne consiste pas seulement à découvrir que des identifiants ont été exposés. Il faut déterminer si cette exposition représente un risque réel, comprendre les ressources auxquelles l’identité concernée peut accéder et agir avant que la situation ne s’aggrave.

Sources

Les sources sont liées dans leur langue d’origine. Les revendications de l’attaquant et les champs de données supplémentaires proviennent de la presse et ne sont pas confirmés par la mise à jour d’ASOS elle-même. L’enquête est en cours : consultez la page d’ASOS pour les dernières informations.