英国时尚电商ASOS遭社工攻击：攻击者冒充“可信联系人”骗取员工账号，经第三方平台获取客户联系方式与搜索历史并公开勒索

据Infosecurity Magazine、RTÉ、Irish Examiner与《卫报》报道，被访问的数据包括客户姓名、收货与电子邮箱地址、电话号码，以及“某些非个人账户相关信息”，后者据称包括客户在ASOS应用上的近期搜索记录。ASOS强调支付卡信息与账户密码未被访问。事件最初于10月6日以极为罕见的方式曝光：ASOS App用户收到一条标题为“ASOS hacked”的推送通知，内容直指ASOS的数据保护官与IT团队，声称“我们已完全控制一个Snowflake实例，与我们接触，否则我们将公开数据”，并附上Telegram链接。

围绕攻击路径出现了技术争议。攻击者向BBC表示，被控制的其实是一个名为Simon AI的代理式营销平台的实例。安全研究者指出，该平台构建在Snowflake Cortex AI之上。Snowflake方面则声明，经调查确认该问题“绝非源于Snowflake服务、平台或内部环境的漏洞、弱点、缺陷或配置错误，也不是由Snowflake造成的”，客户无需整改。Telegram频道经域名情报公司Group-IB核查为10月6日新建，其背后的Telegram账号历史上曾以游戏道具交易相关名称出现。

ASOS称其网站与App在整个事件期间均可安全使用，客户无需采取任何账户操作，但提醒客户警惕声称来自ASOS的意外信息或来电，并强调公司绝不会通过未经请求的信息或电话索要密码、安全码或支付信息。公司表示已采取额外措施进一步加强安全控制，并将与相关执法机关与监管机构合作。当日ASOS股价一度上涨3%，本周累计跌幅收窄至8%。

本案是2026年英国零售业系列网络事件的最新一例，此前Marks & Spencer、Co-op、Harrods、British Library与Jaguar Land Rover等均曾遭攻击。对本库“供应商与委托处理”专题而言，本案的核心启示是三点：一是第三方SaaS／代理式AI平台已成为数据集中存放点，一旦供应商侧信任关系被利用，客户数据的暴露面会跨越企业自身边界；二是攻击者以“向DSP向DPO直呼其名”的方式发送定向勒索通知，显示攻击方已熟悉数据保护的组织语言；三是事件响应中“支付信息未受影响”与“搜索记录被访问”并存，提示“非个人账户相关信息”并非低风险信息——购物搜索与行为记录同样可以构成画像数据。