ASOSは、外部から入手したログイン認証情報を使って何者かがアカウントに不正アクセスしたとして、影響を受けた米国の顧客に通知しました。
2026年7月28日に検知されたこの事件は、一般消費者向けプラットフォームに対するクレデンシャルスタッフィング攻撃が抱える運用上のリスクを改めて浮き彫りにしています。ASOS US Sales LLCによると、7月28日に顧客アカウントに関する異常な活動を確認し、調査を開始したとのことです。
その翌日となる7月29日、同社は、ASOSのシステム自体が侵害されたことが確認されたわけではなく、外部から入手した認証情報を用いて第三者がアカウントにアクセスした可能性があると認めました。
この表現から、攻撃者が別のサービスで流出済みのユーザー名とパスワードの組み合わせを試すアカウント乗っ取り(ATO)であったことがうかがえます。
多くの人がパスワードを使い回す傾向にあるため、無関係な情報漏えいやフィッシング活動、インフォスティーラー型マルウェア、あるいは闇市場を通じて流出した認証情報が、有効な侵入経路になり得ます。
ASOSは、外部の情報源や脅威アクター、攻撃の規模、影響を受けたアカウントの総数については明らかにしていません。影響を受けたアカウントに紐づく情報が、アクセスされた可能性があります。
漏えいの可能性がある情報には、氏名、メールアドレス、配送先または請求先住所、電話番号、生年月日、そして連携されたソーシャルメディアアカウントの詳細が含まれます。ただし、ソーシャルメディアのログイン認証情報は今回の件に関与していません。
通知にはまた、マスキングされた決済カード情報も記載されています。具体的には、カード名義人名、下4桁、有効期限です。カード番号全体やCVV、決済カードの認証情報が漏えいしたとは記されていません。
とはいえ、連絡先や住所、決済情報の一部が組み合わさることで、標的型フィッシングやソーシャルエンジニアリング、不正な注文の試みに信憑性を持たせてしまう恐れがあります。
ASOSのセキュリティ運用チームは7月29日、影響を受けたアカウントへのアクセスを遮断し、パスワードのリセットを強制しました。同社は7月30日、影響を受けた顧客にメールを送り、パスワードのリセットを呼びかけています。
不審な取引が見られた少数のアカウントについては、自動システムが取引をブロックするか、不正利用対策担当者が手動で取引をキャンセルしました。
同社によると、こうした封じ込め対策の実施後、それ以上の不正な活動は確認されていないとのことです。8月21日付の通知では、顧客に対し決済口座や明細書に異常がないか注意するよう呼びかけています。
影響を受けた可能性がある人は、信用情報レポートを確認し、不正利用の懸念がある場合は不正利用アラートの設定やクレジットフリーズの利用も検討できます。
顧客は、以前のパスワードを少し変えただけのものではなく、新しく固有のASOSパスワードを設定し、同じパスワードを使い回していた他のサービスでもパスワードを変更する必要があります。パスワードマネージャーを使えば、サービスごとに長く一意な認証情報を作成・保管できます。
また、利用者はアカウントの注文履歴、保存された住所、決済方法、パスワードリセットメールについても、不正な変更がないか注意深く確認する必要があります。
今回の事件は、情報漏えい報告における一つの重要な違いを浮き彫りにしています。すなわち、企業自身の認証情報データベースが盗まれたという証拠がなくても、顧客アカウントへの不正アクセスは起こり得るということです。
小売業者にとっては、異常なログインの検知、レート制限やボット対策の導入、リスクの高いセッションの評価、機微な操作に対する追加認証の要求などが、クレデンシャルスタッフィングを起点とするアカウント乗っ取りに対する重要な防御策となります。
セキュリティチームに、不審な活動をより迅速に調査し、被害が business impact に拡大する前に脅威を封じ込めるための可視性とコンテキストを与えましょう。ANY.RUNで調査を強化
翻訳元: https://cyberpress.org/hackers-access-asos-customer-accounts/
