ASOSは、外部から入手されたログイン認証情報を使ってアカウントへの不正アクセスが行われたことを検知し、米国の影響を受けた顧客への通知を開始しました。
ASOS US Sales LLCが発行した侵害通知によると、2026年7月28日に一部のASOSアカウントで異常なアクティビティが検知されたとのことです。
翌日に実施された調査により、外部で流出した認証情報を使って第三者が不正にこれらのアカウントへアクセスした可能性があることが判明しました。
今回の通知では、認証情報の入手元、影響を受けた顧客の数、犯行に関与した人物についての詳細は明らかにされていません。
今回の事案は、アカウント乗っ取り攻撃のリスクが依然として続いていることを浮き彫りにしています。この種の攻撃では、攻撃者が別の情報漏洩事件で流出した認証情報や、フィッシングキャンペーン、マルウェア、パスワードの使い回しなどを通じて入手した認証情報を悪用します。
マルウェア解析ツール
今回の事案はASOSのインフラ内の脆弱性を突いたものではなく、正規のアカウント認証情報の悪用によるものであり、クレデンシャルスタッフィングやパスワード使い回しを狙った攻撃に典型的な手口です。
顧客データが流出した可能性
ASOSの説明によると、アクセスされたアカウント情報には、顧客の氏名、メールアドレス、配送先・請求先住所、電話番号、生年月日、および関連するソーシャルメディアアカウントの詳細が含まれていた可能性があるとのことです。同社は、ソーシャルメディアのログイン認証情報自体は侵害されていないと説明しています。
流出した可能性のある決済情報は、マスキングされたカード情報に限定されており、カード名義人の氏名、カード番号下4桁、有効期限が含まれます。ASOSは、カード番号全体、CVV、決済用の認証情報については今回の事案で侵害されていないと確認しています。
マスキングされた決済データ単体では、従来型のカード非提示(CNP)詐欺を行うには通常不十分ですが、個人情報とアカウント情報が組み合わさることで、説得力のあるフィッシングやソーシャルエンジニアリング、なりすまし詐欺に悪用される恐れがあります。
攻撃者は、影響を受けた顧客のカード情報の一部や住所を引き合いに出してASOSサポートを装い、代替の認証情報や決済情報を聞き出そうとする可能性があります。
ASOSのセキュリティ運用チームは、影響を受けたアカウントへのアクセスをブロックし、7月29日にパスワードの強制リセットを実施しました。顧客には7月30日にメール通知が送られ、パスワードのリセットを行うよう案内されました。
不審な取引が検知された一部のアカウントについては、ASOSが自動的にブロックするか、不正対策チームが手動で取引をキャンセルしました。同社は、こうした対応措置の実施後、それ以上の不正なアクティビティは確認されていないと報告しています。
この迅速な対応から、ASOSは異常なアカウント挙動を検知してからおよそ1日以内に事態の封じ込めに動いたことがうかがえます。しかし、公表された通知の日付は8月21日であり、最初の検知から3週間以上が経過していました。
影響を受けた顧客は、直ちにASOSのパスワードをリセットし、そのパスワードを他のサイトで使い回さないようにする必要があります。同じパスワードを他のサービスでも使用していた場合は、そちらのアカウントについても速やかに変更すべきで、特にメール、銀行、決済、ソーシャルメディアの各サービスを優先してください。
顧客には以下の対応が推奨されています。
- ASOSの注文履歴、保存済み住所、決済方法に不正な変更がないか確認
- 銀行口座やカードの明細で見覚えのない取引がないか監視
- パスワードや決済情報、ワンタイムコードを求めるASOSを装ったフィッシングメッセージに警戒
- パスワードマネージャーで管理された固有のパスワードを使用
- 利用可能な場合は多要素認証を有効化
ASOSはまた、顧客に対し信用情報を確認し、不正利用の懸念がある場合は不正利用アラートの設定やクレジットフリーズの利用を検討するよう呼びかけています。
調査の遅れによるインシデントを防ぎましょう。15,000のSOCから得られる脅威インテリジェンスでTier 1を強化: TI Lookup を貴社のSOCに統合する
翻訳元: https://gbhackers.com/asos-warns-customers-of-data-breach/
