适用对象：ASOS 的客户、在手机上收到“ASOS hacked”推送的任何人，以及向客户发送全应用推送通知的团队。本文基于新闻媒体报道的 ASOS 自己的声明，不涉及攻击手法。
事态发展中：本文将随 ASOS 发布更多信息而更新
截至 2026 年 10 月 30 日尚不清楚
- 受影响的客户数量
- 出生日期和搜索记录是否被获取（ASOS 尚未确认）
- 数据是否已被公开
- 调查结果
ASOS 称其调查仍在进行，如有重大发现将会分享更多信息。它还称，如果客户需要更多信息、支持或采取行动，将直接联系他们。
ASOS 客户今天该怎么做
忽略虚假推送
2026 年 10 月 6 日，客户收到一条标题为“ASOS hacked”的应用通知，指向一个即时通讯应用账号。ASOS 告知客户不要理会它，也不要点击或接触其中的外部链接。
如果它仍在您的手机上，请删除。不要给它所指的账号发消息。
自行查看您的账户
ASOS 称其网站和应用可以安全使用。请打开您已安装的应用，或自行输入网址。不要使用短信、电子邮件或推送中的链接。
ASOS 称账户无需采取任何行动。如果您在其他网站上重复使用 ASOS 的密码，更改它是明智的习惯，开启第二重验证也有帮助（如何选择多重身份验证）。
不要理会任何声称可以处理这些数据的人
不要联系虚假推送中提到的账号。英国国家网络安全中心已向 ASOS 提供支持，并建议人们不要点击可疑链接，并留意利用此次泄露新闻的消息（据 Press Association 报道）。
发生了什么（依据 ASOS 的声明和媒体报道）
10 月 6 日上午（英国）
客户通过 ASOS 应用收到一条标题为“ASOS hacked”的未经授权的推送通知。它链接到一个即时通讯应用账号。ASOS 随后确认，一条未经授权的通知已送达客户（Press Association）。10 月 6 日 15:15（英国）
ASOS 发布了一份标题为“Update regarding cyber incident”的证券交易所公告（伦敦证券交易所记录，2026 年 10 月 6 日）。我们无法读取公告正文；下文内容来自对 ASOS 声明的媒体报道。10 月 6 日
ASOS 称正在调查涉及其用于与客户沟通的第三方平台的未经授权活动，已限制对这些平台的访问，并正与专业顾问和相关机构合作。它称姓名和联系信息可能已被获取，并认为支付卡信息和账户密码未受影响。10 月 8 日
BleepingComputer 报道了 ASOS 的又一次客户更新：未经授权的一方通过冒充可信联系人获取了一名员工的登录凭据，并利用它们访问了某些第三方平台上的信息。10 月上旬，BBC 报道了攻击者提供的样本（Malwarebytes 于 10 月 9 日做了摘要）。
- 通知
- 2026 年 10 月 6 日，一条未经授权的通知通过 ASOS 应用送达客户
- 被获取的数据
- 全名、联系方式以及“某些与账户相关的非个人信息”（据报道，ASOS 声明）
- 未受影响（ASOS 的判断）
- 支付卡信息和账户密码
- 起因
- 一名员工的登录凭据是通过冒充可信联系人而被获取的，随后被用来访问某些第三方平台上的信息（据 BleepingComputer 报道，ASOS 声明）
- 应对
- 锁定了受影响的平台；与外部专家、执法部门和监管机构一起调查；增加了额外的安全措施（据报道，ASOS 声明）
- 服务
- 网站和应用正常运行
已知与未知的内容
| 项目 | 已公布的内容 | 状态 |
|---|---|---|
| 姓名 | 被获取 | 已确认（ASOS 10 月 8 日的客户更新，据 BleepingComputer 报道） |
| 联系方式 | 被获取 | 已确认（ASOS 10 月 8 日的客户更新，据 BleepingComputer 报道） |
| “某些与账户相关的非个人信息” | 被获取 | 已确认（ASOS 10 月 8 日的客户更新，据 BleepingComputer 报道） |
| 家庭住址、电话号码、电子邮箱地址 | 在攻击者的样本中 | 据报道（BBC），ASOS 未确认 |
| 客户编号和出生日期 | 在攻击者的样本中 | 据报道（BBC），ASOS 未确认 |
| 在 ASOS 网站上进行的搜索 | 在攻击者的样本中 | 据报道（BBC），ASOS 未确认 |
| 支付卡信息 | 认为未受影响 | 未包含（ASOS 的判断） |
| 账户密码 | 认为未受影响 | 未包含（ASOS 的判断） |
| 受影响的客户数量 | 未公布 | 未披露 |
| 数据是否已被公开 | 据称攻击者威胁要公开 | 不明（ASOS 未说明） |
| 数据被滥用 | ASOS 未报告 | 无信息 |
| 起因 | 通过冒充获取员工凭据，用于第三方平台 | ASOS 已说明；无技术细节 |
| 第三方平台是否有过失 | 云数据平台提供方称未发现其平台遭到入侵 | 未确定 |
今年早些时候的另一则通知与此无关
媒体报道过 ASOS 美国业务较早发生的另一起账户被入侵事件。那是另一起事件，本站不将两者合并。
姓名和联系方式（ASOS）
客户编号和出生日期（BBC 报道）
网站搜索记录（BBC 报道）
↓
称呼您姓名的短信或邮件
听起来了解您账户的电话
与您的搜索相符的优惠
↓
关闭消息，自行打开真正的应用
切勿提供密码、验证码或支付信息
不要联系虚假推送中的账号
这类数据可能带来什么
本节是一般性说明，并非对已发生情况的报告。
- 姓名加电子邮箱或电话：一条称呼您姓名的消息看起来很真实。这是虚假配送、退款和“您的账户”短信的常见基础。
- 出生日期加客户编号：当来电者要求您“确认身份”时，能让他听起来像是了解您账户的人。
- 搜索记录：它显示的是兴趣，而不是密码，但可以让虚假优惠看起来很个性化。
如果其中任何一种找上了您，安全的做法都一样：关闭消息，打开真正的应用。
面向发送推送通知或使用外部数据平台的团队
ASOS 的说明指向两点教训：这条推送是通过用于联系客户的平台送达的，而起点是一个员工账号。
通过第二渠道核实来自“可信联系人”的请求
ASOS 称，登录凭据是通过冒充可信联系人而被获取的。请让员工通过另一个已知的独立渠道，与相关的人确认关于登录、重置或访问权限的异常请求。参见2026 年以凭据为起点的数据泄露。
保护能向每位客户发送消息的账号
限制谁可以发送全应用通知，要求这些账号以及数据平台启用多重身份验证，并在非正常时间创建推送活动时通知某人。参见如何选择多重身份验证。
提前准备好面向客户的消息
据 Malwarebytes 摘要的 The Independent 报道，ASOS 的完整声明是在推送送达手机约五小时后发布的。请准备一份简短、可随时发送的通知，告诉客户应该忽略什么。
参考来源（公开记录）
我们无法用现有工具读取 ASOS 证券交易所公告或其客户更新的正文。上述事实来自下列报道，它们引用或概述了 ASOS 的声明。来自 BBC 的内容按其他媒体的转述引用，我们自己没有读过 BBC 的文章。
- ASOS PLC，《Update regarding cyber incident》，伦敦证券交易所 RNS 8604X，2026 年 10 月 6 日（仅标题和时间，英文）— londonstockexchange.com
- Press Association（经 Irish News 转载），《Asos 在“未经授权活动”后向客户道歉》（2026 年 10 月 6 日，英文）— irishnews.com
- TechCrunch，《黑客发送恶意应用通知后，ASOS 确认客户数据遭泄露》（2026 年 10 月 8 日，英文）— techcrunch.com
- BleepingComputer，《ASOS 将数据泄露与社会工程攻击、凭据窃取联系起来》（2026 年 10 月 8 日，英文）— bleepingcomputer.com
- Malwarebytes，《ASOS 泄露事件更新》（2026 年 10 月 9 日），概述了 BBC、Independent 和 Yahoo 的报道（英文）— malwarebytes.com
更新记录
2026-10-30：首次发布，依据 Press Association、TechCrunch、BleepingComputer 和 Malwarebytes 所报道的 ASOS 10 月 6 日和 8 日的声明。
延伸阅读
- 作为入口的凭据窃取：2026 年以凭据为起点的数据泄露
- 防范冒充：什么是网络钓鱼？ / 智能手机安全基础
- 面向运营方：如何选择多重身份验证
- 2026 年其他案例：2026 年数据泄露与网络攻击一览