TL;DR
- 01何が起きたか
英国の衣料品の EC、ASOS は 2026 年 10 月 6 日、同日午前 10 時ごろに、不正な通知が顧客に送られたと開示した。顧客への連絡に使う外部の配信サービスでの不正な活動を調べているとし、氏名や連絡先にアクセスされた可能性があるとした。通知は「Asos hacked」と題し、メッセージアプリ Telegram へのリンクを載せていた（報道）。
- 02何が分かっているか
10 月 8 日、ASOS は顧客への説明で、攻撃者が信頼できる相手を装って社員のアカウントのログイン情報を得て、それで ASOS が使う外部のサービスの情報に入ったと明かした（報道）。そのログイン情報と通知の送信がどう結びつくかは、公表されていない。
- 03欠けていた層
ASOS は直ちに通知のサービスへのアクセスを制限したとしたが、通知はすでに顧客に届いていた。効かなかったのは、顧客への一斉通知を、送る前に承認済みの配信と照合する層である。
何が起きたか
- 当事者
- ASOS。英国のオンラインの衣料品販売の会社。
- 起きたこと
- 10 月 6 日午前 10 時ごろ、不正な通知が ASOS の顧客に送られた。ASOS は、顧客への連絡に使う外部のサービスでの不正な活動を調べているとした（ASOS の開示）。英国の国家サイバーセキュリティセンター（NCSC）は、一部の顧客が ASOS のアプリからプッシュ通知を受け取ったとし、受け取っていなくても、ASOS の顧客は影響を受けたと想定するよう呼びかけた。
- 通知の中身
- 「Asos hacked」と題し、Telegram へのリンクを載せていた（報道）。受け取った人数は公表されていない。報道では、数千人が受け取ったとされる。
- 経路
- 10 月 8 日の ASOS の説明では、攻撃者は信頼できる相手を装ってログイン情報を得て、社員のアカウントに入り、そのログイン情報で ASOS が使う外部のサービスの情報に入った（報道が引用した ASOS の顧客への説明）。
- 公表されていないこと
- そのサービスが通知を送ったサービスと同じか。ログイン情報が通知の送信に使われたか。どの社員のどの権限か、多要素認証の有無、いつから入られていたか、何人の顧客の情報か。ASOS はサービスを名指ししていない。
- アクセスされた情報
- 6 日の開示では、氏名や連絡先などの基本的な個人情報にアクセスされた可能性があり、支払いカードの情報とパスワードは影響を受けていないとみるとした。NCSC は、氏名と連絡先にアクセスされたと ASOS が述べたとしている。8 日の ASOS の説明では、氏名、配送先とメールの住所、電話番号と、個人情報ではないアカウントの情報にアクセスされた（報道）。後者には検索の履歴が含まれるとみられる（報道）。
用語メモ
ASOS — 英国のオンラインの衣料品販売の会社。ロンドン証券取引所に上場している。
プッシュ通知 — アプリを入れたスマートフォンに、アプリの名前で届く短いお知らせ。送るのは通常、外部の配信サービスを通して行う。
外部の配信サービス — 会社が、顧客へのメールやアプリの通知を送るために使う外部のサービス。ASOS は、どのサービスかを公表していない。
止めどころは ③。顧客への一斉通知を、送る前に承認済みの配信と照合していれば、承認の無い通知は顧客に届かない。① ② のログイン情報が ③ の送信に使われたかと、③ と ④ の順は公表されていない。
8 日の ASOS の説明（報道）。
通知のサービスと同じかは非公表。
10 月 6 日 10 時ごろ。
支払いカードとパスワードは対象外とされる。
気づいた時刻は非公表。
時系列 — 公表と対応
- 10 時ごろ、不正な通知が顧客に送られる。ASOS が開示する。NCSC が顧客向けの注意を出す。その後、ASOS が顧客に直接謝罪し、通知のリンクを開かないよう求める（報道）。
- 英国の情報コミッショナー事務局（ICO）が、こうしたメッセージのリンクに注意するよう呼びかける声明を出す。
- ASOS が、48 時間の調査の結果として、顧客に侵入の経路とアクセスされた情報を説明する（報道）。
不正な通知、外部のサービスでの不正な活動、アクセスされた可能性のある情報は、ASOS の開示と NCSC の注意（いずれも一次）に拠る。侵入の経路と、8 日に説明された情報の範囲は、ASOS の顧客への説明を報道が伝えたもので、ASOS の開示には無い。
公表後の対応
- ASOS: 通知のサービスへのアクセスを直ちに制限し、社内外の専門家と当局と協力しているとした。サイバー保険と事業継続の保険に入っており、業績への影響を見積もるには早いとした。8 日の説明では、影響を受けたサービスは直ちに封じ、セキュリティの管理をさらに強めたとした（報道）。
- NCSC・ICO: 顧客に、届いた通知やメールのリンクを開かないよう呼びかけた。ICO は、パスワードを変えるなら公式のサイトやアプリから変えるよう求めた。
なぜ止まらなかったか
この事案で問われるのは、社員のログインの守りだけではない。顧客への連絡に使う外部のサービスから、公式アプリの名前で一斉に通知が送られ、それを送る前に承認済みの配信と照合する手順は、公表からは見えない。
顧客への連絡に使う外部の配信サービスから、公式アプリの名前で一斉に通知が送られた。それを送る前に承認済みの配信と照合する手順は、公表からは見えない。
ここでいう証明は、顧客への一斉通知を送る前に「この配信は、社内で承認された配信の予定にあるか」を照合し、記録に残すこと。検出は、不正な活動に気づいて止めること。
顧客に届いた
検出は働き、ASOS はその日のうちにアクセスを制限して開示したが、通知はすでに顧客に届いていた。「外部の配信サービスから送れる」と「この配信は承認されている」は別々の事実で、公表からは、前者を後者と照合する層は見えない。この隔たりが検出と証明の落差であり、構造的な欠落である。
同じ構造は、ユミルリンクの Cuenote FC（メール配信の運営会社の担当者の認証情報が取られた）にも現れている。
対策するには
顧客への一斉通知は、社内で承認された配信の予定と照合できたものだけを送る。そうすれば、配信サービスへのログインを取られても、それだけでは承認の無い通知は顧客に届かない。検出の代わりではなく、検出の手前に置く層である。
注意したい業界・業務
- 業界サービス・小売
- アプリの通知やメールで顧客に直接届く EC や小売。通知の送り主は公式の名前になる。
- 業務配信・送付
- マーケティングや顧客への連絡に使う外部の配信サービスからの、一斉通知やメール。
- 業務アカウント・権限の管理
- 配信サービスに入れる社員のアカウントと、そのログインの守り方。
いまの対策で防げるか
| 対策 | 今回 | 理由 |
|---|---|---|
| 社員の教育 | 一部 | 信頼できる相手を装う手口は、教育だけでは防ぎきれない。 |
| 多要素認証 | 一部 | ASOS は有無を公表していない。一般に、ログインの段は守れるが、入った後に何を送るかは問わない。 |
| アクセスの制限 | 一部 | 気づいた後には効いた。通知は、すでに届いていた。 |
| 顧客への注意喚起 | 一部 | 届いた後の被害を減らすが、届くこと自体は止めない。 |
- 一斉通知を送る権限を、作る権限と分ける。通知の文面を作れる人が、そのまま全顧客に送れないようにする。
- 承認済みの配信と照合できたものだけを送る。配信の予定と承認に結びつかない一斉通知は、ログインが正しくても送らない。
- 誰が、どの承認で、何を送ったかを、配信サービスとは別に残す。後から照合できる形、つまり証明として残す。
顧客への配信サービスについて、組織で確認する 3 項目
- 一斉通知やメールを、作った人だけで送れる設定になっていないか。
- 配信サービスへのログインに、フィッシングに強い多要素認証を求めているか。
- 社内の人や取引先を名乗る連絡でログイン情報を求められたとき、別の経路で確認する手順があるか。
注：承認する人のアカウントまで乗っ取られた場合は、この照合を通りうる。また、この照合は通知を止めるもので、サービスの中の顧客の情報が読まれることは止めない。通知がどの経路で送られたかは公表されていない。続報で判明すれば、この Brief を改訂する。
Sources
- 一次・開示ASOS “Update regarding cyber incident”
- 一次・公的機関の注意英国 NCSC “Incident affecting ASOS customers”
- 一次・声明英国 ICO “ASOS statement”
報道・解析 2 件
- 報道The Guardian “Asos warns customer data may be compromised after ‘unauthorised’ app access”
- 報道・ASOS の顧客への説明を引用The Guardian “Asos says customers’ names, contact details and search histories hacked”