대상: ASOS 고객, 휴대폰으로 "ASOS hacked" 알림을 받은 사람, 고객에게 앱 전체 푸시 알림을 보내는 팀. 이 글은 뉴스 매체가 보도한 ASOS 자신의 성명을 근거로 작성되었으며, 공격 수법은 다루지 않습니다.
진행 중: ASOS가 추가 정보를 발표하는 대로 이 글을 업데이트합니다
2026년 10월 30일 기준아직 알려지지 않음
- 영향을 받은 고객 수
- 생년월일과 검색 기록이 유출되었는지 여부(ASOS는 확인하지 않음)
- 데이터가 공개되었는지 여부
- 조사 결과
ASOS는 조사가 진행 중이며 중요한 사실이 확인되면 추가로 공유하겠다고 밝혔습니다. 또한 추가 정보, 지원 또는 조치가 필요한 고객에게는 직접 연락하겠다고 밝혔습니다.
ASOS 고객이 오늘 해야 할 일
가짜 알림은 무시하세요
2026년 10월 6일, 고객은 메신저 앱 계정을 가리키는 "ASOS hacked"라는 제목의 앱 알림을 받았습니다. ASOS는 고객에게 이를 무시하고 안의 외부 링크를 누르거나 응하지 말라고 안내했습니다.
아직 휴대폰에 남아 있다면 삭제하세요. 알림에 나온 계정에는 메시지를 보내지 마세요.
계정은 직접 확인하세요
ASOS는 웹사이트와 앱을 안전하게 사용할 수 있다고 밝혔습니다. 이미 설치한 앱을 열거나 웹 주소를 직접 입력하세요. 문자, 이메일, 알림의 링크는 사용하지 마세요.
ASOS는 계정에 필요한 조치는 없다고 밝혔습니다. 다른 사이트에서도 ASOS 비밀번호를 쓰고 있다면 바꾸는 것이 좋은 습관이며, 두 번째 확인을 켜는 것도 도움이 됩니다(다단계 인증 고르기).
이름이나 검색어를 인용하는 메시지에 주의하세요
이름, 이메일 주소, 전화번호, 집 주소는 사기범이 메시지를 진짜처럼 보이게 하는 데 쓰는 정보입니다. BBC의 보도가 맞다면 생년월일과 검색어도 쓰일 수 있습니다. 이를 사용한 메시지가 ASOS에서 왔다는 증거는 아닙니다.
ASOS는 요청하지 않은 메시지나 전화로 비밀번호, 보안 코드, 결제 정보를 절대 요구하지 않는다고 밝혔습니다. 피싱이란?과 스마트폰 보안 기본을 참고하세요.
데이터를 처리해 주겠다는 사람과 연락하지 마세요
가짜 알림에 나온 계정에 연락하지 마세요. 영국 국가사이버보안센터는 ASOS에 지원을 제공했으며, 수상한 링크를 누르지 말고 유출 소식을 이용한 메시지를 경계하라고 안내합니다(Press Association 보도).
무슨 일이 있었나요 (ASOS의 성명과 언론 보도 기준)
10월 6일 오전(영국)
고객이 ASOS 앱을 통해 "ASOS hacked"라는 제목의 무단 푸시 알림을 받습니다. 알림은 메신저 앱 계정으로 연결됩니다. ASOS는 이후 무단 알림이 고객에게 전달된 것을 확인했습니다(Press Association).10월 6일 15:15(영국)
ASOS가 "Update regarding cyber incident"라는 제목의 증권거래소 공시를 게시합니다(런던증권거래소 기록, 2026년 10월 6일). 공시 본문은 읽을 수 없었으며, 아래 내용은 ASOS의 성명을 다룬 언론 보도에서 가져왔습니다.10월 6일
ASOS는 고객과 소통하는 데 사용하는 서드파티 플랫폼과 관련된 무단 활동을 조사 중이며, 해당 플랫폼에 대한 접근을 제한했고, 전문 자문가 및 관계 당국과 협력하고 있다고 밝힙니다. 이름과 연락처에 접근이 있었을 수 있으며 결제 카드 정보나 계정 비밀번호는 영향을 받지 않았다고 판단한다고 밝혔습니다.10월 8일
BleepingComputer가 ASOS의 추가 고객 안내를 보도합니다. 무단 접근한 제3자가 신뢰할 수 있는 연락처를 사칭해 직원의 로그인 자격 증명을 입수했고, 이를 이용해 일부 서드파티 플랫폼의 정보에 접근했다는 내용입니다. 10월 초 BBC는 공격자가 제공한 샘플에 대해 보도했습니다(Malwarebytes의 10월 9일 요약).
- 알림
- 2026년 10월 6일 ASOS 앱을 통해 무단 알림이 고객에게 전달됨
- 접근된 데이터
- 전체 이름, 연락처, "개인과 직접 관련되지 않은 일부 계정 관련 정보"(ASOS 성명, 보도 기준)
- 영향 없음(ASOS의 판단)
- 결제 카드 정보와 계정 비밀번호
- 원인
- 신뢰할 수 있는 연락처를 사칭해 직원의 로그인 자격 증명이 입수되었고, 이를 이용해 일부 서드파티 플랫폼의 정보에 접근함(ASOS 성명, BleepingComputer 보도)
- 대응
- 영향을 받은 플랫폼 잠금, 외부 전문가·법 집행기관·규제 당국과 조사, 보안 조치 추가(ASOS 성명, 보도 기준)
- 서비스
- 웹사이트와 앱은 정상 운영 중
확인된 것과 확인되지 않은 것
| 항목 | 공개된 내용 | 상태 |
|---|---|---|
| 이름 | 접근됨 | 확인됨(BleepingComputer가 보도한 ASOS의 10월 8일 고객 안내) |
| 연락처 | 접근됨 | 확인됨(BleepingComputer가 보도한 ASOS의 10월 8일 고객 안내) |
| "개인과 직접 관련되지 않은 일부 계정 관련 정보" | 접근됨 | 확인됨(BleepingComputer가 보도한 ASOS의 10월 8일 고객 안내) |
| 집 주소, 전화번호, 이메일 주소 | 공격자의 샘플에 있음 | 보도됨(BBC), ASOS는 확인하지 않음 |
| 고객 번호와 생년월일 | 공격자의 샘플에 있음 | 보도됨(BBC), ASOS는 확인하지 않음 |
| ASOS 웹사이트에서 한 검색 | 공격자의 샘플에 있음 | 보도됨(BBC), ASOS는 확인하지 않음 |
| 결제 카드 정보 | 영향을 받지 않은 것으로 판단 | 포함되지 않음(ASOS의 판단) |
| 계정 비밀번호 | 영향을 받지 않은 것으로 판단 | 포함되지 않음(ASOS의 판단) |
| 영향을 받은 고객 수 | 공개되지 않음 | 공개되지 않음 |
| 데이터가 공개되었는지 | 공격자가 공개하겠다고 위협한 것으로 보도됨 | 알 수 없음(ASOS는 밝히지 않음) |
| 데이터 악용 | ASOS는 보고하지 않음 | 정보 없음 |
| 원인 | 사칭으로 직원 자격 증명 입수, 서드파티 플랫폼에서 사용 | ASOS가 밝힘, 기술적 세부 사항 없음 |
| 서드파티 플랫폼의 결함 | 클라우드 데이터 플랫폼 제공업체는 자사 플랫폼의 침해를 발견하지 못했다고 밝힘 | 확정되지 않음 |
올해 초의 별도 통지는 이번 사건과 무관합니다
언론은 ASOS 미국 사업에서 있었던 별도의 이전 계정 침해 사례를 보도했습니다. 이는 다른 사건이며, 이 사이트는 두 사건을 합치지 않습니다.
이름과 연락처(ASOS)
고객 번호와 생년월일(BBC 보도)
웹사이트 검색 기록(BBC 보도)
↓
이름을 부르며 오는 문자나 이메일
내 계정을 아는 듯한 전화
내 검색어에 맞춘 제안
↓
메시지를 닫고 진짜 앱을 직접 열기
비밀번호, 코드, 결제 정보는 절대 알려주지 않기
가짜 알림의 계정에 연락하지 않기
이런 데이터로 무엇을 할 수 있나요
이 섹션은 일반적인 내용이며, 실제로 일어난 일에 대한 보고가 아닙니다.
- 이름과 이메일 또는 전화번호: 이름을 부르는 메시지는 진짜처럼 보입니다. 가짜 배송, 환불, "당신의 계정" 문자의 일반적인 바탕입니다.
- 생년월일과 고객 번호: 전화를 건 사람이 "본인 확인"을 요구할 때 내 계정을 아는 사람처럼 들리게 합니다.
- 검색 기록: 비밀번호가 아니라 관심사를 보여 주지만, 가짜 제안을 개인적으로 보이게 만들 수 있습니다.
이 중 무엇이 도착하더라도 안전한 대응은 같습니다. 메시지를 닫고 진짜 앱을 여세요.
푸시 알림을 보내거나 외부 데이터 플랫폼을 사용하는 팀을 위한 내용
ASOS의 설명은 두 가지 교훈을 가리킵니다. 알림이 고객에게 닿기 위해 사용하는 플랫폼을 통해 나갔다는 것, 그리고 출발점이 직원 계정이었다는 것입니다.
'신뢰할 수 있는 연락처'의 요청은 두 번째 채널로 확인하세요
ASOS는 로그인 자격 증명이 신뢰할 수 있는 연락처를 사칭해 입수되었다고 밝혔습니다. 로그인, 재설정, 접근에 대한 평소와 다른 요청은 직원이 별도의 알려진 채널로 해당 인물에게 확인하게 하세요. 2026년 자격 증명 우선 침해를 참고하세요.
모든 고객에게 메시지를 보낼 수 있는 계정을 보호하세요
앱 전체 알림을 보낼 수 있는 사람을 제한하고, 그런 계정과 데이터 플랫폼에 다단계 인증을 요구하며, 평소 시간대가 아닐 때 캠페인이 만들어지면 누군가에게 경보가 가게 하세요. 다단계 인증 고르기를 참고하세요.
고객에게 보낼 메시지를 미리 준비하세요
Malwarebytes가 요약한 The Independent의 보도에 따르면 ASOS의 전체 성명은 알림이 휴대폰에 도착한 지 약 5시간 뒤에 나왔습니다. 고객에게 무엇을 무시해야 하는지 알리는 짧은 안내문을 바로 보낼 수 있게 준비해 두세요.
출처 (공개 기록)
우리가 가진 도구로는 ASOS의 증권거래소 공시 본문이나 고객 안내를 읽을 수 없었습니다. 위 사실은 ASOS의 성명을 인용하거나 요약한 아래 보도에서 가져왔습니다. BBC의 내용은 다른 매체가 보도한 대로 인용했으며, 우리는 BBC 기사를 직접 읽지 않았습니다.
- ASOS PLC, "Update regarding cyber incident", 런던증권거래소 RNS 8604X, 2026년 10월 6일(제목과 시각만) — londonstockexchange.com
- Press Association via Irish News, "Asos apologises to customers after 'unauthorised activity'"(2026년 10월 6일) — irishnews.com
- TechCrunch, "ASOS confirms breach of customer data after hackers send rogue app notification"(2026년 10월 8일) — techcrunch.com
- BleepingComputer, "ASOS links data breach to social engineering attack, credential theft"(2026년 10월 8일) — bleepingcomputer.com
- Malwarebytes, "ASOS breach update"(2026년 10월 9일), BBC, Independent, Yahoo 보도를 요약 — malwarebytes.com
업데이트 기록
2026-10-30: Press Association, TechCrunch, BleepingComputer, Malwarebytes가 보도한 10월 6일과 8일 ASOS의 성명을 바탕으로 한 첫 버전.
다음으로 읽을 글
- 입구가 된 자격 증명 탈취: 2026년 자격 증명 우선 침해
- 사칭 방어: 피싱이란? / 스마트폰 보안 기본
- 운영자용: 다단계 인증 고르기
- 2026년 기타 사례: 2026년 데이터 유출 및 사이버 공격