Fuite chez ASOS : une notification push pirate détourne l’application mobile

Comment un message d’extorsion a atterri sur les téléphones des clients

Le mardi 6 octobre 2026, le détaillant de mode du UK ASOS a confirmé une fuite de données après l’envoi par des pirates de notifications push non autorisées via son application mobile, selon BleepingComputer. Plutôt que de contacter l’entreprise en privé, les intrus ont détourné le canal de messagerie client de la marque pour diffuser leur menace directement sur l’écran des acheteurs.

D’après The Next Web, la notification était intitulée « ASOS HACKED » et renvoyait vers un compte Telegram. BleepingComputer précise que le texte de l’alerte disait, à l’attention du DPO et du service IT d’ASOS : « Dear ASOS DPO and IT, we have fully compromised the Snowflake instance. Engage with us, or we will leak it. »

La réaction boursière a été immédiate. Comme l’a rapporté The Irish News, le National Cyber Security Centre du UK a proposé son aide à ASOS, et l’action ASOS a chuté de plus de 10% à la suite de cette révélation.

Plateformes de messagerie tierces contre affirmation non vérifiée sur Snowflake

Malgré la formulation de l’alerte pirate, l’intrusion confirmée porte sur les outils de communication client plutôt que sur l’infrastructure centrale de vente. LBC rapporte qu’ASOS a déclaré enquêter sur une activité non autorisée impliquant des plateformes tierces utilisées pour communiquer avec les clients, et que l’enseigne a agi pour restreindre l’accès à ces plateformes de notification.

Quant à l’affirmation des pirates concernant l’entrepôt de données, BleepingComputer souligne que les attaquants, se présentant sous le nom de « Xuanye group », ont affirmé avoir compromis l’environnement Snowflake d’ASOS, mais qu’ASOS ne l’a pas confirmé et qu’aucune preuve n’a été fournie. De plus, The Irish News indique que Snowflake a affirmé n’avoir constaté aucune compromission de sa propre plateforme.

Du côté des données clients, LBC rapporte qu’ASOS a indiqué que les noms et coordonnées avaient pu être consultés, mais ne pense pas que les données de cartes de paiement ou les mots de passe aient été touchés. L’entreprise a également précisé que son site web et son application fonctionnaient normalement, sans perturbation actuelle de ses opérations.

Ce que cela signifie pour le e-commerce et les éditeurs d’applications mobiles

L’incident ASOS n’a aucun lien opérationnel direct avec l’Algérie dans les sources citées, mais son mécanisme concerne chaque site marchand, service de livraison ou application mobile du pays. Les équipes e-commerce sécurisent souvent le tunnel de paiement tout en traitant les plateformes externes de marketing et de notifications push comme des outils secondaires. Trois mesures pratiques découlent de cet épisode.

1. Traiter les consoles de notifications push comme une infrastructure de production critique

Une plateforme externe capable d’envoyer une alerte sur l’écran de chaque utilisateur — et d’y insérer un lien vers un compte Telegram — contrôle le canal de communication le plus sensible de la marque. L’accès aux outils tiers de messagerie doit exiger une authentification forte, une séparation stricte des rôles et des procédures de révocation immédiate.

2. Réduire au minimum les données clients synchronisées vers les outils marketing tiers

ASOS a indiqué que des noms et coordonnées avaient pu être consultés via l’activité non autorisée sur les plateformes tierces de communication, tandis que les cartes de paiement et les mots de passe n’étaient pas jugés affectés. L’absence d’identifiants de paiement dans ces outils a limité la casse, et les commerçants en ligne ont tout intérêt à restreindre encore davantage les coordonnées copiées chez les prestataires de notification.

3. Préparer un coupe-circuit pour les clés d’envoi de notifications

Lorsque l’alerte pirate a été diffusée, ASOS a agi pour restreindre l’accès aux plateformes de notification tout en maintenant le fonctionnement normal de son site et de son application. Les équipes techniques doivent disposer d’une procédure testée permettant de révoquer ou de remplacer les clés de notification en quelques minutes sans interrompre la boutique en ligne.

La leçon structurelle

L’aspect le plus marquant de l’affaire ASOS réside dans le décalage entre le périmètre technique confirmé et l’impact boursier et réputationnel. Même si les cartes de paiement et les mots de passe ne semblent pas touchés et que le site comme l’application ont continué de fonctionner normalement, une seule notification push détournée a suffi à transformer un incident sur un outil tiers en crise publique et en baisse de plus de 10% du titre.

Pour les acteurs du commerce numérique en Algérie et ailleurs, les outils de communication client font pleinement partie du périmètre de sécurité. Toute plateforme tierce autorisée à s’adresser aux utilisateurs au nom de l’entreprise exige la même rigueur de contrôle d’accès que le cœur de l’application.

Questions Fréquemment Posées

Sources et lectures complémentaires

• ASOS confirms data breach after hacked in-app notifications — BleepingComputer
• ASOS app push notification hack claims Snowflake breach — The Next Web
• ASOS apologises to customers after unauthorised activity — The Irish News
• ASOS investigating unauthorised activity on third-party customer communication platforms — LBC