L’incidente di sicurezza del mese di novembre: cosa ci insegna l’attacco hacker ad ASOS sulla fiducia

Che cosa è successo?

Immagina di aprire la tua app preferita per lo shopping e di vedere una notifica che ti dice che l’azienda è stata vittima di un attacco hacker. Solo che il messaggio non proviene dall’azienda, ma è stato inviato proprio dagli hacker stessi.

È proprio quello che è successo ai clienti di ASOS il 6 ottobre 2026, quando alcuni criminali informatici hanno usato il sistema di notifiche dell’app dello stesso rivenditore per annunciare di aver compromesso i suoi sistemi.

La notizia ha suscitato subito preoccupazione e ASOS ha poi confermato che una terza parte non autorizzata era riuscita ad accedere ai dati dei clienti. Inizialmente, l’azienda ha dichiarato che potrebbero essere stati compromessi alcuni dati personali di base, tra cui nomi e recapiti.

Ma man mano che le indagini andavano avanti, il quadro è diventato sempre più preoccupante. Dopo che i criminali hanno contattato la BBC News con un campione delle informazioni rubate, ASOS ha confermato che erano stati sottratti profili dei clienti più dettagliati. Secondo la BBC, le informazioni rubate includevano nomi, indirizzi, numeri di telefono, indirizzi e-mail, numeri cliente e date di nascita. Nei dati erano visibili persino le ricerche di acquisto dei clienti.

ASOS non ha confermato esattamente quanti clienti siano stati coinvolti, anche se la violazione potrebbe potenzialmente riguardare milioni di persone. L’azienda ha dichiarato di non ritenere che siano stati consultati i dati delle carte di pagamento o le password degli account, e ha rassicurato i clienti sul fatto che il suo sito web e la sua app siano ancora sicuri da usare.

Allora, come hanno fatto gli hacker a entrare? Secondo ASOS, i criminali si sono spacciati per un contatto fidato e hanno convinto un dipendente a fornire le proprie credenziali di accesso. Queste credenziali hanno poi permesso agli hacker di accedere a un servizio contenente le informazioni dei clienti.

È proprio questo che rende questo episodio particolarmente interessante. Gli autori dell’attacco sono riusciti a sfruttare la fiducia in due momenti diversi: prima per ottenere l’accesso tramite un dipendente, e poi utilizzando un canale di comunicazione legittimo per raggiungere direttamente i clienti.

Come una sola impersonazione convincente ha aperto la porta

La maggior parte dei dipendenti non darebbe mai di proposito le proprie credenziali di accesso a un criminale informatico, ma quando qualcuno sembra essere un vero collega o un contatto fidato, una richiesta inaspettata può sembrare perfettamente ragionevole.

È proprio questo il problema dell’ingegneria sociale: gli hacker non hanno sempre bisogno di trovare una falla tecnica, visto che possono convincere qualcuno con accesso legittimo a fare qualcosa per conto loro.

Nel caso di ASOS, sembra che gli hacker siano riusciti ad accedere spacciandosi per qualcuno di cui il dipendente si fidava. Non conosciamo tutti i dettagli di quell’interazione, ma sappiamo com’è andata a finire: gli hacker hanno ottenuto credenziali valide e le hanno usate per accedere alle informazioni dei clienti.

È facile guardare a un episodio del genere e chiedersi perché qualcuno dovrebbe condividere le proprie credenziali di accesso, ma gli hacker creano apposta situazioni in cui richieste insolite sembrano normali, soprattutto quando si fingono persone che conosci o che ricoprono una posizione di autorità.

Per un dipendente che sta cercando di affrontare una giornata di lavoro intensa, una richiesta convincente da parte di un presunto collega potrebbe non destare immediatamente sospetti.

Ecco perché la sensibilizzazione alla sicurezza non deve limitarsi a dire alle persone di tenere al sicuro le proprie password. I dipendenti devono capire come funziona l’usurpazione d’identità, riconoscere quando una richiesta merita un’ulteriore verifica e sentirsi a proprio agio nel controllare l’identità di qualcuno prima di condividere informazioni sensibili.

Quando il messaggio proviene da una fonte affidabile

Il furto dei dati dei clienti è ovviamente un problema serio, ma c’è un altro aspetto di questa violazione che merita attenzione.

Gli hacker sono riusciti a inviare una notifica tramite l’app ufficiale di ASOS. Quando ti appare una notifica da un’app che hai scaricato e usato per anni, probabilmente non ti fermi a chiederti chi l’abbia inviata: dai semplicemente per scontato che provenga dall’azienda che ha creato l’app. Dopotutto, arrivano tramite un servizio che hai già scaricato e di cui hai deciso di fidarti.

In questo caso, i criminali hanno sfruttato proprio questa familiarità per far arrivare il loro messaggio direttamente ai clienti di ASOS.

È un esempio interessante di come la fiducia possa essere sfruttata al di là delle solite email di phishing. Un hacker non ha necessariamente bisogno di creare un sito web falso convincente o di falsificare un indirizzo email se è riuscito ad accedere a un sistema di comunicazione autentico.

E anche se la notifica di ASOS ha annunciato la violazione invece di presentarsi come un normale messaggio del servizio clienti, vale la pena riflettere sulle implicazioni più ampie. Se i criminali riescono a sfruttare un canale di comunicazione legittimo, le persone potrebbero essere più inclini a credere a una richiesta dannosa semplicemente per via del contesto in cui appare.

Il Centro nazionale per la sicurezza informatica (NCSC) ha avvertito in modo specifico i clienti di ASOS di stare attenti ai link sospetti, compresi quelli inviati tramite notifiche push.

È una lezione utile anche per i dipendenti. Il fatto che un messaggio compaia in un posto familiare non significa automaticamente che sia sicuro, soprattutto se ti chiede di condividere informazioni o di fare qualcosa di inaspettato.

Cosa ha fatto bene ASOS

ASOS si è trovata di fronte a una situazione insolita, con i criminali che hanno praticamente reso pubblico l’incidente ai clienti prima ancora che l’azienda avesse completato le indagini.

ASOS ha provveduto a limitare l’accesso alle piattaforme di terze parti coinvolte e ha coinvolto esperti esterni di sicurezza informatica per indagare sull’incidente. L’azienda ha inoltre confermato di stare collaborando con le forze dell’ordine e le autorità di regolamentazione, tenendo al contempo informati i clienti sui dati che si ritiene siano stati compromessi. Man mano che sono emersi ulteriori dettagli, ha aggiornato i propri comunicati per spiegare che era stato effettuato l’accesso a profili dei clienti più completi.

Questa distinzione è importante. La descrizione iniziale delle informazioni di contatto di base non rendeva pienamente conto di tutto ciò che era stato sottratto, e i clienti dovevano capire i rischi aggiuntivi legati alla divulgazione dei loro dati personali.

ASOS ha inoltre rassicurato i clienti dicendo che non ritiene che i dati di pagamento o le password siano stati compromessi, e li ha invitati a stare attenti a messaggi o chiamate inaspettate che dicono di provenire dal negozio.

È importante sottolineare che ha chiarito che ai clienti non verrà mai chiesto di fornire password, codici di sicurezza o dati di pagamento tramite messaggi o chiamate non richiesti.

Da questa vicenda si può trarre una lezione su come comunicare durante un’indagine in corso. Le organizzazioni non avranno sempre tutte le risposte subito, soprattutto quando un incidente è ancora in corso, ma tenere le persone informate man mano che arrivano nuove informazioni può aiutarle a capire cosa è successo e a cosa devono prestare attenzione in seguito.

Cosa possono imparare le organizzazioni

Una delle cose che colpisce di più della violazione di ASOS è quanto danno possa potenzialmente causare un’impersonificazione convincente. A quanto pare, gli hacker hanno iniziato convincendo un dipendente a rivelare le proprie credenziali di accesso. Da lì, sono riusciti ad accedere alle informazioni dei clienti e a sfruttare in modo improprio un canale di comunicazione che milioni di persone normalmente associano a un rivenditore affidabile.

Questo solleva una domanda importante per le organizzazioni: quanto sono sicuri i tuoi dipendenti quando si tratta di riconoscere qualcuno che non è chi dice di essere?

Quando sei impegnato a svolgere il tuo lavoro, è facile prendere una richiesta per buona, soprattutto se sembra provenire da qualcuno che conosci o di cui ti fidi. È proprio su questo che fanno affidamento gli hacker.

I dipendenti devono sapere che va bene mettere in discussione queste richieste, anche quando sembrano provenire da qualcuno che conoscono. Verificare la cosa tramite un canale separato e affidabile può aiutare a capire se una richiesta è autentica prima che qualsiasi informazione sensibile venga condivisa.

L’incidente dimostra anche perché la sensibilizzazione alla sicurezza debba stare al passo con i modi in cui comunicano i criminali. Le e-mail di phishing sono ancora una delle principali preoccupazioni, ma i dipendenti possono ricevere richieste sospette anche tramite piattaforme di messaggistica aziendali, telefonate e altri canali a cui sei abituato.

I consigli dell’NCSC a seguito della violazione subita da ASOS ribadiscono proprio questo punto. I clienti sono stati invitati a stare attenti alle truffe, a evitare link sospetti e a controllare la sicurezza dei propri account, tenendo presente che le comunicazioni malevole possono arrivare anche qualche tempo dopo l’incidente iniziale.

E quando qualcosa sembra proprio non andare per il verso giusto, i dipendenti dovrebbero sapere esattamente come segnalarlo. Una segnalazione tempestiva di una richiesta insolita potrebbe dare ai team di sicurezza la possibilità di indagare prima che un hacker riesca ad andare oltre.

In fin dei conti, le persone devono sentirsi libere di mettere in discussione le richieste che sembrano un po’ sospette, indipendentemente da chi sembra averle fatte. Più i dipendenti acquisiscono familiarità con le tattiche usate dagli hacker, meglio saranno preparati quando si troveranno di fronte a un tentativo di impersonazione convincente.

Aiuta i dipendenti a riconoscere la persona che c’è dietro al messaggio

Quando un malintenzionato riesce a farsi passare in modo convincente per qualcuno di cui un dipendente si fida, anche una semplice richiesta può diventare un grave rischio per la sicurezza.

MetaCompliance aiuta le aziende a preparare i dipendenti ad affrontare queste situazioni attraverso coinvolgenti corsi di sensibilizzazione alla sicurezza che spiega come funziona l’ingegneria sociale e aiuta le persone a riconoscere le tattiche che i criminali usano per conquistare la loro fiducia.

Le nostre simulazioni avanzate di phishing offrono ai dipendenti l’opportunità di esercitarsi a reagire a minacce realistiche, aiutandoli ad acquisire maggiore sicurezza nell’individuare richieste sospette. Una formazione di approfondimento mirata può poi rafforzare la consapevolezza dei segnali di allarme che potrebbero aver trascurato e favorire comportamenti più sicuri nel tempo.

Rendendo la formazione sulla consapevolezza più attinente alle situazioni che i dipendenti si trovano ad affrontare, le organizzazioni possono aiutare le persone a sviluppare la sicurezza necessaria per fermarsi, controllare e verificare prima di rispondere a una richiesta inaspettata.

Contattaci per scoprire come MetaCompliance può aiutare la tua organizzazione a rafforzare le difese contro l’ingegneria sociale.