Faille du mois de novembre : ce que le piratage d’ASOS nous apprend sur la confiance

Que s’est-il passé ?

Imaginez que vous ouvriez votre application de shopping préférée et que vous voyiez une notification vous informant que l’entreprise a été piratée. Sauf que ce message ne provient pas de l’entreprise, mais qu’il a été envoyé par les pirates eux-mêmes.

C’est exactement ce qui est arrivé aux aux clients d’ASOS le 6 octobre 2026, lorsque des cybercriminels ont utilisé le système de notification de l’application du détaillant pour annoncer qu’ils avaient piraté ses systèmes.

Cette notification a immédiatement suscité des inquiétudes, et ASOS a par la suite confirmé qu’un tiers non autorisé avait accédé aux informations de ses clients. Dans un premier temps, l’entreprise a indiqué que des données personnelles de base, notamment les noms et les coordonnées, avaient pu être compromises.

Mais à mesure que l’enquête avançait, la situation est devenue plus préoccupante. Après que les malfaiteurs ont contacté BBC News en leur fournissant un échantillon des informations volées, ASOS a confirmé que des profils clients plus détaillés avaient été dérobés. Selon la BBC, les informations volées comprenaient les noms, adresses, numéros de téléphone, adresses e-mail, numéros de client et dates de naissance. Même les recherches d’achats des clients figuraient dans ces données.

ASOS n’a pas confirmé le nombre exact de clients concernés, bien que cette faille puisse potentiellement toucher des millions de personnes. L’entreprise a déclaré ne pas penser que les informations relatives aux cartes de paiement ou aux mots de passe des comptes aient été compromises, et a rassuré ses clients en leur indiquant que son site web et son application pouvaient continuer à être utilisés en toute sécurité.

Comment les pirates ont-ils donc réussi à s’introduire dans le système ? Selon ASOS, les malfaiteurs se sont fait passer pour un contact de confiance et ont persuadé un employé de leur communiquer ses identifiants de connexion. Ces identifiants ont ensuite permis aux pirates d’accéder à un service contenant des informations sur les clients.

C’est ce qui rend cet incident particulièrement intéressant. Les pirates ont réussi à abuser de la confiance à deux niveaux différents : d’abord pour s’introduire par l’intermédiaire d’un employé, puis en utilisant un canal de communication légitime pour contacter directement les clients.

Comment une usurpation d’identité convaincante a ouvert la porte

La plupart des employés ne communiqueraient pas délibérément leurs identifiants à un cybercriminel, mais lorsqu’une personne semble être un véritable collègue ou un contact de confiance, une demande inattendue peut paraître tout à fait raisonnable.

C’est là tout le problème de l’ingénierie sociale : les pirates n’ont pas toujours besoin de trouver une faille technique lorsqu’ils peuvent persuader une personne disposant d’un accès légitime d’agir en leur nom.

Dans le cas d’ASOS, les pirates auraient réussi à s’introduire dans le système en se faisant passer pour une personne en qui l’employé pensait pouvoir avoir confiance. Nous ne connaissons pas tous les détails de cette interaction, mais nous en connaissons le résultat : les pirates ont obtenu des identifiants valides et les ont utilisés pour accéder aux informations des clients.

Face à un incident de ce type, on peut facilement se demander pourquoi quelqu’un partagerait ses identifiants de connexion, mais les pirates créent délibérément des situations qui font passer des demandes inhabituelles pour tout à fait normales, en particulier lorsqu’ils se font passer pour une personne de votre entourage ou occupant un poste d’autorité.

Pour un salarié qui tente de mener à bien une journée de travail bien remplie, une demande convaincante émanant d’un soi-disant collègue ne suscitera peut-être pas immédiatement de soupçons.

C’est pourquoi la sensibilisation à la sécurité ne doit pas se limiter à demander aux personnes de protéger leurs mots de passe. Les collaborateurs doivent comprendre comment fonctionne l’usurpation d’identité, savoir repérer les demandes qui méritent d’être examinées de plus près et se sentir à l’aise pour vérifier l’identité d’une personne avant de lui communiquer des informations sensibles.

Lorsque le message provient d’une source fiable

Le vol des données des clients constitue évidemment un sujet de préoccupation majeur, mais un autre aspect de cette violation mérite également votre attention.

Les pirates ont réussi à envoyer une notification via l’application ASOS officielle. Lorsqu’une notification s’affiche depuis une application que vous avez téléchargée et utilisée depuis des années, vous ne vous demandez probablement pas longtemps qui l’a envoyée : vous partez simplement du principe qu’elle provient de l’entreprise à l’origine de l’application. Après tout, ces notifications nous parviennent via un service que nous avons déjà téléchargé et auquel nous avons choisi de faire confiance.

Dans ce cas précis, les malfaiteurs ont profité de cette notoriété pour diffuser leur message directement auprès des clients d’ASOS.

C’est un exemple intéressant qui montre comment la confiance peut être exploitée au-delà des e-mails de hameçonnage habituels. Un pirate n’a pas nécessairement besoin de créer un faux site web convaincant ni d’usurper une adresse e-mail s’il a réussi à accéder à un véritable système de communication.

Et bien que la notification d’ASOS ait annoncé la violation de données plutôt que de se présenter comme un simple message du service client, il convient de réfléchir à ses implications plus larges. Si des criminels parviennent à détourner un canal de communication légitime, les gens pourraient être davantage enclins à croire une demande malveillante simplement en raison de l’endroit où elle apparaît.

Le Centre national de cybersécurité (NCSC) a expressément mis en garde les clients d’ASOS contre les liens suspects, y compris ceux transmis par le biais de notifications push.

C’est également une leçon utile pour les employés. Le fait qu’un message apparaisse dans un endroit familier ne signifie pas pour autant qu’il est sans danger, surtout s’il vous demande de communiquer des informations ou d’effectuer une action inattendue.

Ce qu’ASOS a bien fait

ASOS s’est retrouvée confrontée à une situation inhabituelle, les malfaiteurs ayant en effet rendu l’incident public auprès des clients avant même que l’entreprise n’ait achevé son enquête.

ASOS a pris des mesures pour restreindre l’accès aux plateformes tierces concernées et a fait appel à des experts externes en cybersécurité afin d’enquêter sur cet incident. Le détaillant a également confirmé qu’il collaborait avec les forces de l’ordre et les autorités de régulation, tout en tenant ses clients informés des données qui semblaient avoir été compromises. À mesure que de nouveaux détails ont été révélés, il a mis à jour ses communications pour expliquer que des profils clients plus complets avaient été consultés.

Cette distinction est importante. La description initiale des coordonnées de base ne rendait pas compte de l’ampleur réelle des données qui avaient été dérobées, et les clients devaient prendre conscience des risques supplémentaires liés à la divulgation de leurs informations personnelles.

ASOS a également rassuré ses clients en leur indiquant qu’il ne pensait pas que leurs informations de paiement ou leurs mots de passe aient été compromis, et les a invités à se méfier des messages ou appels inattendus prétendant provenir de l’enseigne.

Il est important de noter que l’entreprise a clairement précisé qu’il ne serait jamais demandé aux clients de communiquer leurs mots de passe, codes de sécurité ou informations de paiement par le biais d’un message ou d’un appel non sollicité.

Il y a là une leçon à tirer concernant la communication au cours d’une enquête en cours. Les organisations ne disposent pas toujours de toutes les réponses immédiatement, en particulier lorsqu’un incident est encore en cours, mais tenir les personnes informées à mesure que de nouvelles informations sont disponibles peut les aider à comprendre ce qui s’est passé et ce à quoi elles doivent prêter attention par la suite.

Ce que les organisations peuvent en tirer comme enseignement

L’un des aspects les plus frappants de la violation de données chez ASOS réside dans l’ampleur des dégâts qu’une usurpation d’identité convaincante peut potentiellement causer. Les pirates auraient commencé par persuader un employé de leur communiquer ses identifiants de connexion. À partir de là, ils ont pu accéder aux informations des clients et détourner un canal de communication que des millions de personnes associeraient normalement à un détaillant de confiance.

Cela soulève une question importante pour les organisations : dans quelle mesure vos collaborateurs sont-ils capables de repérer une personne qui ne serait pas celle qu’elle prétend être ?

Lorsque vous êtes occupé à vaquer à vos tâches, il est facile de prendre une demande pour argent comptant, surtout lorsqu’elle semble provenir d’une personne que vous connaissez ou en qui vous avez confiance. C’est exactement ce sur quoi comptent les pirates.

Les employés doivent savoir qu’ils peuvent sans crainte remettre en question ces demandes, même lorsqu’elles semblent provenir d’une personne qu’ils connaissent. Vérifier par le biais d’un canal distinct et fiable peut permettre de s’assurer de l’authenticité d’une demande avant que des informations sensibles ne soient transmises.

Cet incident montre également pourquoi la sensibilisation à la sécurité doit évoluer au rythme des nouvelles méthodes de communication utilisées par les criminels. Les e-mails de hameçonnage restent une préoccupation majeure, mais les employés peuvent également être confrontés à des demandes suspectes via les plateformes de messagerie professionnelles, des appels téléphoniques et d’autres canaux courants.

Les recommandations du NCSC à la suite de la violation de données chez ASOS viennent renforcer ce point. Les clients ont été invités à se méfier des tentatives d’escroquerie, à éviter les liens suspects et à vérifier la sécurité de leur compte, sachant que des communications malveillantes peuvent arriver quelque temps après l’incident initial.

Et lorsqu’une situation semble suspecte, les employés doivent savoir exactement comment la signaler. Un signalement rapide concernant une demande inhabituelle pourrait permettre aux équipes de sécurité d’enquêter avant qu’un pirate ne puisse aller plus loin.

En fin de compte, chacun doit se sentir à l’aise pour remettre en question les demandes qui semblent suspectes, quelle que soit la personne qui semble en être à l’origine. Plus les employés se familiariseront avec les tactiques utilisées par les pirates, mieux ils seront préparés lorsqu’ils seront confrontés à une tentative d’usurpation d’identité convaincante.

Aidez les collaborateurs à reconnaître la personne qui se cache derrière le message

Lorsqu’un pirate parvient à se faire passer de manière convaincante pour une personne en qui un employé a confiance, même une simple demande peut constituer un risque sérieux pour la sécurité.

MetaCompliance aide les organisations à préparer leurs collaborateurs à faire face à ces situations grâce à des formations de sensibilisation à la sécurité qui expliquent le fonctionnement de l’ingénierie sociale et aident les personnes à reconnaître les tactiques utilisées par les criminels pour gagner leur confiance.

Nos simulations avancées de hameçonnage permettent aux collaborateurs de s’entraîner à réagir face à des menaces réalistes, ce qui les aide à gagner en assurance pour identifier les demandes suspectes. Une formation de suivi adaptée permet ensuite de mettre en évidence les signaux d’alerte qu’ils ont manqués et de favoriser l’adoption de comportements plus sûrs au fil du temps.

En adaptant les formations de sensibilisation aux situations auxquelles les salariés sont confrontés, les organisations peuvent aider ces derniers à acquérir la confiance nécessaire pour prendre le temps de réfléchir, d’analyser et de vérifier avant de répondre à une demande inattendue.

N’hésitez pas à nous contacter pour découvrir comment MetaCompliance peut aider votre organisation à renforcer ses défenses contre l’ingénierie sociale.