ASOS מאשרת אירוע סייבר: שמות ופרטי קשר אולי נחשפו

ב־6 באוקטובר 2026 פרסמה ASOS הודעה לבורסה שלפיה סמוך ל־10:00 נשלחה ללקוחות הודעה לא מורשית, ושמות ופרטי קשר בסיסיים עשויים היו להיות נגישים; החברה אינה סבורה שסיסמאות לחשבונות או פרטי כרטיסי תשלום נפגעו, והדגישה: “Our website and app are operating as normal”. פעילות לא מורשית נבדקת בפלטפורמות של צדדים שלישיים המשמשות לתקשורת עם לקוחות, והגישה לפלטפורמות ההודעות הוגבלה.

לפי דיווח הגרדיאן, הודעת הפוש טענה כי שולחיה חדרו לסביבת Snowflake וכללה קישור לערוץ Telegram; מניית ASOS ירדה ביותר מ־14% במהלך המסחר באותו יום וסגרה בירידה של 9.56%. אלה טענת סחיטה ותגובת שוק, בהתאמה: אף אחת מהן אינה מוכיחה שטענת החדירה ל־Snowflake נכונה.

עבור לקוחות בישראל, השאלה הדחופה היא איזה מידע עשוי לשמש לפנייה אליהם בהמשך. בשלב זה מדובר בחשיפה אפשרית של פרטי זיהוי וקשר בסיסיים, ולא בממצא על גניבת סיסמאות או כרטיסים. לא פורסם פירוט שמזהה בנפרד את הרשומות של לקוחות בישראל.

כיצד הגיעה הודעת הסחיטה ללקוחות

המסר הופיע כהודעת פוש של יישומון ASOS, ערוץ שלקוחות רגילים לקבל דרכו עדכונים מן החברה. הפעם התוכן לא אושר על ידה. זה מסביר מדוע הופעת הודעה במכשיר אינה הופכת את הקישור שבה לבטוח: מקור ההתראה כפי שהוא נראה ללקוח ותוכן המסר אינם אותה שאלת אבטחה.

הבדיקה מתמקדת בפלטפורמות חיצוניות המשמשות לשליחת הודעות ללקוחות. גישה שמאפשרת לשגר הודעת פוש יכולה להסביר כיצד הגיעה דרישת הסחיטה לטלפונים, אך אינה מגלה לבדה לאילו מאגרי מידע נוספים הייתה גישה. גם המשך הפעילות של האתר והיישומון מתאר את זמינות שירות הקניות; הוא אינו קובע את היקף החשיפה האפשרית של פרטי קשר.

ההודעה כוונה בפועל גם לעיני הציבור, אף שתוכנה פנה לאנשי הגנת המידע והמחשוב של החברה. קישור לערוץ חיצוני בתוך הודעה כזאת עלול למשוך לקוחות לחפש שם תשובות. אין צורך להיכנס לערוץ כדי לברר את מצב החשבון, ותוכן שמפרסמים שולחי ההודעה אינו תחליף לעדכון על תוצאות הבדיקה.

מה אושר לגבי המידע, ומה נשאר בגדר טענה

ללקוחות חשוב להפריד בין עצם שליחת ההודעה לבין השאלה אם נלקחו נתונים. אלה המעמדות השונים של הפרטים הידועים כעת:

• אירוע שאושר: הודעה לא מורשית נשלחה ללקוחות דרך ערוץ התקשורת של ASOS. השימוש הבלתי מורשה בפלטפורמות המשמשות לתקשורת עם לקוחות נמצא בבדיקה, והגישה לפלטפורמות ההודעות הוגבלה.
• חשיפה אפשרית: שמות ופרטי קשר בסיסיים עשויים היו להיות נגישים. הניסוח אינו קובע שכל רשומת לקוח נחשפה, וגם אינו מפרט אם פרטי הקשר האפשריים הם כתובות דוא״ל, מספרי טלפון או שניהם.
• הערכת החברה בשלב זה: סיסמאות לחשבונות ופרטי כרטיסי תשלום אינם נחשבים לנתונים שנפגעו. זו הערכה במסגרת בדיקה מתמשכת, ולכן אין להציג גניבת סיסמאות או כרטיסים כעובדה.
• טענת שולחי ההודעה: הם טענו לחדירה לסביבת Snowflake. לא הוצג ממצא המאמת גישה לסביבה הזאת או קושר אותה לחשיפה האפשרית של פרטי הלקוחות.

גם רשימת לקוחות שקיבלו פוש אינה בהכרח רשימת הרשומות שהיו נגישות. שליחת הודעה תלויה, בין היתר, במכשיר ובהגדרות ההתראות של המשתמש; השאלה אם פרטי קשר נחשפו תלויה במה שהיה נגיש בפלטפורמות הנבדקות. לכן קבלת ההודעה אינה הוכחה שסיסמת החשבון נחשפה, והיעדרה אינו הוכחה שפרטי הקשר נשארו מחוץ להישג יד.

מה פירושה של טענת Snowflake

Snowflake היא סביבת הנתונים ששולחי הודעת הסחיטה נקבו בשמה, אך האישור על שימוש לא מורשה בפלטפורמות תקשורת עם לקוחות אינו מאשר חדירה אליה. אלה מערכות בעלות תפקידים שונים: אחת קשורה לטענה על סביבת נתונים, והאחרות משמשות להעברת מסרים. פרסום טענה אחת בתוך הודעת פוש מוכיח שלשולח הייתה דרך להפיץ את הטקסט, לא שהייתה לו הגישה הנוספת שעליה הוא טוען.

ההבחנה הזאת קובעת גם את מידת הזהירות בנוגע לסיסמאות. אילו הייתה מתפרסמת עדות לגישה למאגר סיסמאות, ייתכן שהיה צורך בהנחיה אחרת ללקוחות. כרגע המידע הפומבי מצביע על אפשרות לחשיפת פרטי קשר בסיסיים, ואינו מספק בסיס להודעה גורפת שסיסמאות נגנבו. פרטים נוספים על סוגי הרשומות ועל היקף הגישה עשויים לשנות את ההערכה.

מה כדאי ללקוחות בישראל לעשות כעת

המרכז הלאומי לאבטחת סייבר בבריטניה ממליץ ללקוחות ASOS לנהוג בזהירות גם אם לא קיבלו את הודעת הפוש, לשים לב להודעות חשודות ולא לפתוח קישורים חשודים בהתראות, בדוא״ל או במסרונים. זו המלצה להתנהגות זהירה מול אי־ודאות, ולא קביעה שכל לקוח נפגע. ללקוחות בישראל אין כרגע פירוט פומבי שמאפשר לקבוע חשיפה על פי מקום מגורים בלבד.

1. אם הודעת הפוש עדיין מופיעה במכשיר, אל תפתחו את הקישור לערוץ החיצוני ואל תנהלו דרכו שיחה על החשבון. העובדה שההודעה הופיעה דרך יישומון הקניות אינה מעניקה לקישור שבה מעמד של ערוץ שירות רשמי.
2. אם מגיעה הודעה נוספת שמזכירה את האירוע ומבקשת להתחבר לחשבון, לאשר תשלום או למסור פרטים, פתחו את היישומון בעצמכם או הקלידו את כתובת האתר בדפדפן. בקשה דחופה לטיפול בהזמנה או להחזר כספי יכולה להיות ניסיון התחזות גם כשהיא כוללת את שמכם.
3. אם אתם מבחינים בהזמנה, בשינוי פרטי חשבון או בפעולה אחרת שלא ביצעתם, פנו לשירות הלקוחות דרך ערוצי ASOS הרשמיים. במקרה כזה יש סיבה לטפל בפעולה החריגה עצמה, בלי להמתין לקביעה כללית על מספר הלקוחות שנפגעו.
4. אין כרגע ראיה שדורשת מכל לקוחות ASOS להחליף סיסמה בגלל האירוע. מי שמשתמש באותה סיסמה בשירותים אחרים יכול להחליף את הסיסמה החוזרת ולהפעיל אימות נוסף היכן שאפשר; זו זהירות כללית שמצמצמת נזק אפשרי מחשיפות שונות.

אם פרטי קשר אכן היו נגישים, ההשלכה המעשית עשויה להופיע מאוחר יותר כהודעה אישית שנראית קשורה לקנייה אמיתית. הפרט שיכריע אם נדרשת פעולה ממוקדת יותר הוא זיהוי הנתונים והרשומות שנחשפו בפועל. עד שיהיה פירוט כזה, הדרך הבטוחה לברר בקשה הנוגעת לחשבון היא להגיע לשירות דרך ערוץ שפתחתם בעצמכם.