対象：ASOSの利用者、スマホに「ASOS hacked」の通知が届いた人、顧客へアプリ一斉通知を送る担当者。この記事は、ASOSの発表を報道機関が伝えた内容に基づき、攻撃手法には触れない。
続報待ち：この記事は公式発表に合わせて更新します
2026年10月30日時点まだ分かっていないこと
- 影響を受けた人数
- 生年月日・検索履歴が漏れたか（ASOSは未確認）
- データが公開されたか
- 調査の結果
ASOSは調査を続けており、重要な事実が分かれば共有するとしている。追加の情報・支援・対応が必要な顧客には直接連絡するとも述べている。
利用者が今日やること
偽の通知は無視する
2026年10月6日、利用者に「ASOS hacked」というアプリ通知が届き、メッセージアプリのアカウントに誘導していた。ASOSは、この通知を無視し、外部リンクを開かない・やり取りしないよう呼びかけた。
スマホに残っていれば削除する。通知に書かれたアカウントには連絡しない。
アカウントは自分で確かめる
同社は、ウェブサイトとアプリは引き続き安全に使えるとしている。すでに入れているアプリを開くか、アドレスを自分で入力する。SMS、メール、通知のリンクは使わない。
同社は、アカウントについて必要な対応はないとしている。ほかのサイトでASOSと同じパスワードを使っているなら、変更し、2段階認証を有効にしておくと安心（多要素認証の選び方）。
名前や検索内容を知っているメッセージに注意する
氏名、メールアドレス、電話番号、住所は、詐欺メッセージを本物らしく見せるために使われる材料である。BBCの報道のとおりなら、生年月日や検索語も使われうる。それらが書かれていても、ASOSからとは限らない。
同社は、パスワード、セキュリティコード、支払い情報を求める一方的なメッセージや電話はしないとしている。フィッシングとは、スマホのセキュリティ基本も参照。
データの「処理」を持ちかける相手とはやり取りしない
偽の通知に書かれたアカウントには連絡しない。英国の国家サイバーセキュリティセンター（NCSC）はASOSに支援を申し出ており、不審なリンクを開かないこと、この件のニュースを使ったメッセージに注意することを呼びかけている（Press Associationの報道）。
何が起きたのか（ASOSの発表と報道より）
10月6日 朝（英国時間）
ASOSのアプリから「ASOS hacked」という不正な通知が利用者に届き、メッセージアプリのアカウントに誘導した。同社は後に、無許可の通知が顧客に届いたことを認めた（Press Association）。10月6日 15:15（英国時間）
ASOSが「Update regarding cyber incident」という題の取引所向け発表を掲載（ロンドン証券取引所の記録、2026年10月6日）。発表の本文は当方のツールでは読めなかったため、以下は同社の発表を伝える報道に基づく。10月6日
同社は、顧客との連絡に使う第三者のプラットフォームでの無許可の活動を調査していること、それらへのアクセスを制限したこと、専門家や関係当局と対応していることを説明。氏名と連絡先が閲覧された可能性があり、決済カード情報とパスワードは影響を受けていないと考えていると述べた。10月8日
BleepingComputerは、同社の顧客向けの追加の更新を報道：無許可の第三者が、信頼できる連絡先を装って従業員のログイン情報を入手し、それを使って複数の第三者プラットフォームの情報にアクセスした。10月上旬、BBCは攻撃者が示した見本について報じた（Malwarebytesの10月9日の記事による要約）。
- 通知
- 2026年10月6日、ASOSのアプリから無許可の通知が顧客に届いた
- アクセスされた情報
- 氏名、連絡先、「一部の個人情報ではないアカウント関連情報」（同社の発表、報道による）
- 影響なし（同社の認識）
- 決済カード情報、アカウントのパスワード
- 原因
- 信頼できる連絡先を装って従業員のログイン情報を入手し、複数の第三者プラットフォームの情報にアクセスした（同社の発表、BleepingComputerの報道）
- 対応
- 該当プラットフォームを遮断。外部の専門家・法執行機関・規制当局と調査し、追加の安全対策を導入（同社の発表、報道による）
- サービス
- ウェブサイトとアプリは通常どおり稼働
分かっていること・分かっていないこと
| 項目 | 公表された内容 | 状態 |
|---|---|---|
| 氏名 | アクセスされた | 確認（同社の10/8の更新、BleepingComputer報道） |
| 連絡先 | アクセスされた | 確認（同社の10/8の更新、BleepingComputer報道） |
| 「一部の個人情報ではないアカウント関連情報」 | アクセスされた | 確認（同社の10/8の更新、BleepingComputer報道） |
| 自宅住所・電話番号・メールアドレス | 攻撃者の見本に含まれていた | 報道（BBC）。同社は未確認 |
| 顧客番号・生年月日 | 攻撃者の見本に含まれていた | 報道（BBC）。同社は未確認 |
| サイト内の検索履歴 | 攻撃者の見本に含まれていた | 報道（BBC）。同社は未確認 |
| 決済カード情報 | 影響を受けていないと考えている | 含まれない（同社の認識） |
| アカウントのパスワード | 影響を受けていないと考えている | 含まれない（同社の認識） |
| 影響を受けた人数 | 公表なし | 公表なし |
| データが公開されたか | 攻撃者が公開をほのめかしたと報じられている | 不明（ASOSは説明していない） |
| データの悪用 | 同社からの報告なし | 記載なし |
| 原因 | 従業員のログイン情報を、連絡先を装って入手し、第三者プラットフォームで使った | 同社が説明。技術的詳細なし |
| 第三者プラットフォーム側の欠陥 | クラウドデータ基盤の提供元は、自社基盤の侵害は確認していないと述べた | 確認なし |
今年の別の通知とは別件
ASOSの米国事業について、以前のアカウント侵害の別事案が報じられている。これは別の事案であり、当サイトは両者を合算しない。
氏名・連絡先（ASOS）
顧客番号・生年月日（BBC報道）
サイト内の検索履歴（BBC報道）
↓
名前で呼びかける偽のSMS・メール
口座を知っているような電話
検索内容に合わせた偽の特典
↓
メッセージを閉じ、本物のアプリを自分で開く
パスワード・コード・支払い情報は伝えない
偽の通知のアカウントには連絡しない
このような情報で起こりうること
この節は一般論であり、実際に起きたことの報告ではない。
- 氏名＋メール・電話：名前で呼びかける本物らしいメッセージが作れる。偽の配送・返金・「アカウント」通知の土台になりやすい。
- 生年月日＋顧客番号：電話で「本人確認」を求めるとき、口座を知っている相手のように装える。
- 検索履歴：パスワードではないが、好みに合わせた偽の特典に見せかけるために使われうる。
どれが届いても、取る行動は同じ。メッセージを閉じ、本物のアプリを自分で開く。
一斉通知や外部データ基盤を使う事業者が見直すこと
ASOSの説明からは、顧客への連絡に使う基盤を経由して通知が届いたこと、出発点が従業員のアカウントだったことが分かる。
「信頼できる連絡先」からの依頼は、別の経路で確認する
ASOSは、信頼できる連絡先を装ってログイン情報が入手されたと説明した。ログインやリセット、アクセス権の依頼は、本人に別の既知の経路で確認するよう社内で決める。認証情報から入られた2026年の事例も参照。
全顧客に送れるアカウントを守る
アプリ一斉通知を送れる人を絞り、そのアカウントとデータ基盤に多要素認証を必須にする。通常と違う時間帯に配信が作られたら通知が飛ぶようにする。多要素認証の選び方。
顧客向けの文面を事前に用意する
Independent紙の報道（Malwarebytesの要約）によると、同社の詳しい発表は通知が届いた約5時間後だった。何を無視すればよいかを伝える短い文面を、すぐ出せるよう用意しておく。
出典（公開情報）
ASOSの取引所向け発表の本文と顧客向けの更新は、当方のツールでは読めなかった。以上の事実は、同社の発表を引用・要約した下記の報道に基づく。BBCの内容は他の報道機関が伝えたものとして扱っており、BBCの記事自体は読んでいない。
- ASOS PLC「Update regarding cyber incident」ロンドン証券取引所 RNS 8604X、2026年10月6日（題と時刻のみ）— londonstockexchange.com
- Press Association（Irish News掲載）「Asos apologises to customers after 'unauthorised activity'」（2026年10月6日）— irishnews.com
- TechCrunch「ASOS confirms breach of customer data after hackers send rogue app notification」（2026年10月8日）— techcrunch.com
- BleepingComputer「ASOS links data breach to social engineering attack, credential theft」（2026年10月8日）— bleepingcomputer.com
- Malwarebytes「ASOS breach update」（2026年10月9日、BBC・Independent・Yahooの報道の要約）— malwarebytes.com
更新履歴
2026-10-30：初版。10月6日・8日のASOSの発表を、Press Association、TechCrunch、BleepingComputer、Malwarebytesの報道に基づいてまとめた。
次に読む
- 認証情報が入口になった例：認証情報から入られた2026年の事例
- なりすましへの備え：フィッシングとは / スマホのセキュリティ基本
- 事業者向け：多要素認証の選び方
- 2026年のほかの事例：2026年の情報漏えい・サイバー攻撃