Mardi 6 octobre, une notification « ASOS HACKED » est apparue sur les téléphones de clients de l'enseigne. Des pirates y menaçaient de publier des données. ASOS admet que des informations personnelles ont pu être consultées. Si vous avez une carte enregistrée dans l'appli, voici le geste pour la retirer, même sans compte PayPal.
En bref
- Mardi 6 octobre 2026, des pirates ont envoyé une notification « ASOS HACKED » aux clients, affirmant avoir compromis l'instance Snowflake.
- ASOS admet un accès possible à des données personnelles, sans élément sur les mots de passe ni les données bancaires.
- Pour retirer sa carte, il faut ajouter PayPal sans compte, le définir par défaut, puis supprimer la carte enregistrée.
Le chiffre clé : plus de 10 %, baisse de l'action ASOS à la Bourse de Londres le jour de l'attaque.
Une alerte « ASOS HACKED » s'est affichée sur l'écran de verrouillage
Mardi 6 octobre 2026, vers 10 heures à Londres, 11 heures à Paris, des clients d'ASOS ont vu surgir une notification qui n'avait rien d'une promotion. Le texte ne s'adressait pas aux acheteurs, mais au délégué à la protection des données et aux équipes informatiques de l'enseigne.
« Nous avons entièrement compromis l'instance Snowflake. Discutez avec nous, ou nous la ferons fuiter »
Message des pirates, diffusé par notification dans l'application ASOS
L'alerte renvoyait vers un canal Telegram et portait la signature du Xuanye Group, un nom encore très peu documenté. Habituellement, ce genre de revendication reste sur un site de fuite ou une messagerie chiffrée. Cette fois, les clients l'ont lue au même moment que la direction.
La Bourse a réagi tout de suite : l'action ASOS reculait de plus de 10 % à Londres dans la journée.
ASOS reconnaît un accès possible, mais écarte mots de passe et cartes
Dans son communiqué, l'enseigne confirme l'envoi non autorisé du message. Elle parle d'activités non autorisées sur des plateformes tierces qu'elle utilise pour communiquer avec ses clients, sans nommer le prestataire. Selon elle, des informations personnelles « pourraient avoir été consultées ». Les noms et coordonnées sont les plus exposés.
ASOS affirme n'avoir aucun élément laissant penser que les mots de passe ou les données bancaires sont touchés. Elle dit avoir restreint l'accès à ces plateformes de notification et travailler avec ses conseillers et les autorités.
Les pirates écrivent eux aussi que les informations de paiement ne sont pas concernées. Ben Kazlauskas, PDG de Decodo, va dans le même sens : les numéros de carte complets passent en général par des prestataires de paiement distincts. Ils ont donc peu de chances de se trouver dans une base analytique comme Snowflake.
Aucune preuve publique à ce stade, et beaucoup de zones d'ombre
Rien ne dit encore que les pirates ne bluffent pas. Voici où en sont les informations connues.
| Point | Situation |
|---|---|
| Intrusion dans Snowflake | Revendiquée, sans échantillon de données publié |
| Données consultées | Noms et coordonnées possibles, selon ASOS |
| Mots de passe et cartes | Aucun élément d'atteinte, selon ASOS et selon les pirates |
| Clients concernés | Nombre non communiqué |
| Plateforme Snowflake | Aucune compromission constatée, selon son porte-parole |
Ce dernier point demande une nuance. Le porte-parole de Snowflake parle de la plateforme, pas des comptes de ses clients. En 2024, des pirates avaient copié les données d'environ 165 clients de Snowflake, dont Ticketmaster, sans exploiter de faille. Selon l'enquête de Mandiant, ils utilisaient des identifiants volés par des logiciels espions, sur des comptes sans double authentification.
Un compte d'ASOS pourrait donc avoir été visité sans que Snowflake soit en cause. Pourtant, l'enseigne ne cite jamais Snowflake dans son communiqué. Quant au Xuanye Group, il promet que les informations clients ne seront pas touchées « pendant une période déterminée », sans dire laquelle ni ce qu'il publiera ensuite.
Supprimer sa carte d'ASOS : l'astuce pour contourner le blocage
Retirer sa carte maintenant ne protège rien si les pirates ont déjà eu accès à vos coordonnées. Mais si vous avez perdu confiance, autant ne plus rien laisser dans l'appli. Le parcours est moins simple qu'il n'y paraît : la carte définie comme méthode de paiement par défaut ne peut pas être supprimée, et l'application demande d'en choisir d'abord une autre.
Quand vous n'avez qu'une seule carte, cela semble vous obliger à en saisir une nouvelle. Il existe pourtant un contournement :
- Ouvrez l'onglet « Modes de paiement » de votre espace personnel.
- Ajoutez PayPal. L'appli ne demande vos identifiants PayPal qu'au moment de commander, donc aucun compte n'est nécessaire.
- Définissez PayPal comme méthode de paiement par défaut.
- Appuyez sur « Modifier » en haut à droite, puis sur la pastille rouge à côté de la carte.
Votre compte ne conserve alors plus aucune carte. Si vous préférez couper les ponts, vous pouvez aussi supprimer votre compte depuis l'application. Pour la suite, ASOS permet de commander en tant qu'invité, sans rien enregistrer.
Le phishing est le risque le plus immédiat dans les prochains jours
Quelques noms et coordonnées suffisent pour monter une campagne crédible, surtout après une affaire aussi médiatisée. Attendez-vous à des e-mails ou des SMS au nom d'ASOS qui vous proposent de « sécuriser » votre compte ou de saisir vos coordonnées bancaires.
- N'ouvrez pas le lien contenu dans la notification des pirates.
- Méfiez-vous de tout e-mail, SMS ou appel se réclamant d'ASOS qui réclame un mot de passe, des coordonnées bancaires ou un code reçu par SMS.
- Changez votre mot de passe ASOS, surtout s'il sert aussi ailleurs.
- Surveillez vos relevés bancaires. En cas d'opération suspecte, contactez votre banque pour faire opposition.
La vigilance doit durer : les données présumées volées n'ont pas été publiées, et personne ne sait quand elles le seront, ni même si elles existent.
Vos questions
Ma carte bancaire a-t-elle été volée chez ASOS ?
Rien ne le prouve. ASOS dit ne disposer d'aucun élément sur une atteinte aux données bancaires, et les pirates écartent eux aussi cette piste. Un expert rappelle que les numéros de carte complets sont en général gérés par des prestataires de paiement distincts.
Dois-je changer mon mot de passe ASOS ?
C'est une bonne idée, surtout si vous l'utilisez sur d'autres sites. Fin juillet, ASOS avait déjà forcé la réinitialisation des mots de passe de 138 828 clients, après des connexions réalisées avec des identifiants volés ailleurs.
Les pirates détiennent-ils vraiment des données d'ASOS ?
On ne le sait pas encore. Les pirates n'ont publié aucune preuve ni aucun échantillon, et ASOS n'a pas indiqué combien de clients seraient concernés. L'enseigne enquête avec les autorités, sans savoir si le groupe bluffe.
Sources : clubic.com, numerama.com, presse-citron.net.