適用對象：ASOS 的客戶、在手機上收到「ASOS hacked」推播的任何人，以及向客戶發送全應用程式推播通知的團隊。本文根據新聞媒體報導的 ASOS 自己的聲明，不涉及攻擊手法。
進行中：本文將隨 ASOS 發布更多資訊而更新
截至2026年10月30日尚不清楚
- 受影響的客戶數量
- 出生日期與搜尋紀錄是否遭取得（ASOS 尚未確認）
- 資料是否已被公開
- 調查結果
ASOS 表示其調查仍在進行，若有重大發現將會分享更多資訊。它還表示，若客戶需要更多資訊、支援或採取行動，將直接聯絡他們。
ASOS 客戶今天該怎麼做
忽略假冒推播
2026年10月6日，客戶收到一則標題為「ASOS hacked」的應用程式通知，指向一個即時通訊應用程式帳號。ASOS 告知客戶不要理會它，也不要點擊或接觸其中的外部連結。
若它仍在您的手機上，請刪除。不要傳訊息給它所指的帳號。
自行查看您的帳號
ASOS 表示其網站與應用程式可以安全使用。請開啟您已安裝的應用程式，或自行輸入網址。不要使用簡訊、電子郵件或推播中的連結。
ASOS 表示帳號無需採取任何行動。若您在其他網站上重複使用 ASOS 的密碼，更改它是明智的習慣，開啟第二重驗證也有幫助（如何選擇多重要素驗證）。
不要理會任何聲稱可以處理這些資料的人
不要聯絡假冒推播中提到的帳號。英國國家網路安全中心已向 ASOS 提供支援，並建議人們不要點擊可疑連結，並留意利用此次外洩新聞的訊息（據 Press Association 報導）。
發生了什麼事（依據 ASOS 的聲明與媒體報導）
10月6日上午（英國）
客戶透過 ASOS 應用程式收到一則標題為「ASOS hacked」的未經授權的推播通知。它連結到一個即時通訊應用程式帳號。ASOS 隨後確認，一則未經授權的通知已送達客戶（Press Association）。10月6日 15:15（英國）
ASOS 發布了一份標題為「Update regarding cyber incident」的證券交易所公告（倫敦證券交易所紀錄，2026年10月6日）。我們無法讀取公告內文；下文內容來自對 ASOS 聲明的媒體報導。10月6日
ASOS 表示正在調查涉及其用於與客戶溝通的第三方平台的未經授權活動，已限制對這些平台的存取，並正與專業顧問及相關機關合作。它表示姓名與聯絡資訊可能已遭取得，並認為付款卡資訊與帳號密碼未受影響。10月8日
BleepingComputer 報導了 ASOS 的又一次客戶更新：未經授權的一方透過冒充可信任聯絡人取得了一名員工的登入憑證，並利用它們存取了某些第三方平台上的資訊。10月上旬，BBC 報導了攻擊者提供的樣本（Malwarebytes 於10月9日做了摘要）。
- 通知
- 2026年10月6日，一則未經授權的通知透過 ASOS 應用程式送達客戶
- 遭取得的資料
- 全名、聯絡方式以及「某些與帳號相關的非個人資訊」（據報導，ASOS 聲明）
- 未受影響（ASOS 的判斷）
- 付款卡資訊與帳號密碼
- 起因
- 一名員工的登入憑證是透過冒充可信任聯絡人而被取得的，隨後被用來存取某些第三方平台上的資訊（據 BleepingComputer 報導，ASOS 聲明）
- 應對
- 鎖定了受影響的平台；與外部專家、執法機關及監管機關一起調查；增加了額外的安全措施（據報導，ASOS 聲明）
- 服務
- 網站與應用程式正常運作
已知與未知的內容
| 項目 | 已公布的內容 | 狀態 |
|---|---|---|
| 姓名 | 遭取得 | 已確認（ASOS 10月8日的客戶更新，據 BleepingComputer 報導） |
| 聯絡方式 | 遭取得 | 已確認（ASOS 10月8日的客戶更新，據 BleepingComputer 報導） |
| 「某些與帳號相關的非個人資訊」 | 遭取得 | 已確認（ASOS 10月8日的客戶更新，據 BleepingComputer 報導） |
| 住家地址、電話號碼、電子郵件地址 | 在攻擊者的樣本中 | 據報導（BBC），ASOS 未確認 |
| 客戶編號與出生日期 | 在攻擊者的樣本中 | 據報導（BBC），ASOS 未確認 |
| 在 ASOS 網站上進行的搜尋 | 在攻擊者的樣本中 | 據報導（BBC），ASOS 未確認 |
| 付款卡資訊 | 認為未受影響 | 未包含（ASOS 的判斷） |
| 帳號密碼 | 認為未受影響 | 未包含（ASOS 的判斷） |
| 受影響的客戶數量 | 未公布 | 未揭露 |
| 資料是否已被公開 | 據稱攻擊者威脅要公開 | 不明（ASOS 未說明） |
| 資料被濫用 | ASOS 未回報 | 無資訊 |
| 起因 | 透過冒充取得員工憑證，用於第三方平台 | ASOS 已說明；無技術細節 |
| 第三方平台是否有過失 | 雲端資料平台提供者表示未發現其平台遭到入侵 | 未確定 |
今年稍早的另一則通知與此無關
媒體報導過 ASOS 美國業務較早發生的另一起帳號遭入侵事件。那是另一起事件，本站不將兩者合併。
姓名與聯絡方式（ASOS）
客戶編號與出生日期（BBC 報導）
網站搜尋紀錄（BBC 報導）
↓
稱呼您姓名的簡訊或郵件
聽起來了解您帳號的電話
與您的搜尋相符的優惠
↓
關閉訊息，自行開啟真正的應用程式
切勿提供密碼、驗證碼或付款資訊
不要聯絡假冒推播中的帳號
這類資料可能帶來什麼
本節是一般性說明，並非對已發生情況的報告。
- 姓名加電子郵件或電話：一則稱呼您姓名的訊息看起來很真實。這是假冒配送、退款與「您的帳號」簡訊的常見基礎。
- 出生日期加客戶編號：當來電者要求您「確認身分」時，能讓他聽起來像是了解您帳號的人。
- 搜尋紀錄：它顯示的是興趣，而不是密碼，但可以讓假優惠看起來很個人化。
若其中任何一種找上了您，安全的做法都一樣：關閉訊息，開啟真正的應用程式。
給發送推播通知或使用外部資料平台的團隊
ASOS 的說明指向兩點教訓：這則推播是透過用於聯繫客戶的平台送達的，而起點是一個員工帳號。
透過第二管道確認來自「可信任聯絡人」的請求
ASOS 表示，登入憑證是透過冒充可信任聯絡人而被取得的。請讓員工透過另一個已知的獨立管道，與相關的人確認關於登入、重設或存取權限的異常請求。請參閱2026年以憑證為起點的資料外洩。
保護能向每位客戶發送訊息的帳號
限制誰可以發送全應用程式通知，要求這些帳號以及資料平台啟用多重要素驗證，並在非正常時間建立推播活動時通知某人。請參閱如何選擇多重要素驗證。
事先準備好面向客戶的訊息
據 Malwarebytes 摘要的 The Independent 報導，ASOS 的完整聲明是在推播送達手機約五小時後發布的。請準備一份簡短、可隨時發送的通知，告訴客戶應該忽略什麼。
參考來源（公開紀錄）
我們無法用現有工具讀取 ASOS 證券交易所公告或其客戶更新的內文。上述事實來自下列報導，它們引用或概述了 ASOS 的聲明。來自 BBC 的內容按其他媒體的轉述引用，我們自己沒有讀過 BBC 的文章。
- ASOS PLC，《Update regarding cyber incident》，倫敦證券交易所 RNS 8604X，2026年10月6日（僅標題與時間，英文）— londonstockexchange.com
- Press Association（經 Irish News 轉載），《Asos 在「未經授權活動」後向客戶道歉》（2026年10月6日，英文）— irishnews.com
- TechCrunch，《駭客發送惡意應用程式通知後，ASOS 確認客戶資料遭外洩》（2026年10月8日，英文）— techcrunch.com
- BleepingComputer，《ASOS 將資料外洩與社交工程攻擊、憑證竊取連結起來》（2026年10月8日，英文）— bleepingcomputer.com
- Malwarebytes，《ASOS 外洩事件更新》（2026年10月9日），概述了 BBC、Independent 與 Yahoo 的報導（英文）— malwarebytes.com
更新紀錄
2026-10-30：首次發布，依據 Press Association、TechCrunch、BleepingComputer 與 Malwarebytes 所報導的 ASOS 10月6日與8日的聲明。
延伸閱讀
- 作為入口的憑證竊取：2026年以憑證為起點的資料外洩
- 防範冒充：什麼是網路釣魚？ / 智慧型手機安全基礎
- 給營運方：如何選擇多重要素驗證
- 2026年其他案例：2026年資料外洩與網路攻擊一覽