Скандал ASOS: как взлом через собственное приложение обошёлся дороже невнятного извинения

Что случилось?

Утром 6 октября 2026 года клиенты британского фэшн-ритейлера ASOS начали получать пуш-уведомления прямо в мобильном приложении компании с текстом «ASOS HACKED» и угрозами слить данные, если компания не «вступит в переговоры». Отправителями оказались не сотрудники ASOS, а хакерская группа Xuanye Group: она получила доступ к аккаунту сотрудника, представившись доверенным контактом, и через похищенные учётные данные проникла в сторонние сервисы, которые ASOS использует для хранения данных (в том числе платформу на базе Snowflake). В руках злоумышленников оказались имена, адреса, телефоны, e-mail и заметки о поведении покупателей — у ASOS около 17 млн клиентов по всему миру.

Как компания узнала о собственном взломе. Самое неприятное в этой истории — ASOS не успела сообщить новость первой. Клиенты узнали о взломе от самих хакеров через официальное приложение компании, и только после этого появилось заявление ASOS: «Our priority will always be to protect our customers, to understand exactly what happened and to share accurate information as quickly as possible» («Защита клиентов — наш неизменный приоритет, мы хотим разобраться, что произошло, и максимально быстро сообщить точную информацию»). Компания подчеркнула, что пароли и данные банковских карт не пострадали, а сайт и приложение остаются безопасными.

Что сделали правильно. ASOS не стала отрицать инцидент и подтвердила его в течение суток, подав официальное уведомление на Лондонскую биржу — формальные процедуры раскрытия информации были соблюдены. Компания прямо и быстро сняла самый острый страх клиентов, заявив, что платёжные данные и пароли не затронуты.

Что сделали неправильно. Первое заявление осталось расплывчатым: ни слова о том, как именно хакеры получили доступ к аккаунту сотрудника, какие сторонние платформы затронуты и сколько клиентов реально пострадало. Позже выяснилось, что масштаб утечки оказался шире, чем сообщалось изначально — уже после того, как журналисты стали задавать вопросы. Акции ASOS на Лондонской бирже обвалились больше чем на 10% в день раскрытия инцидента, а доверие клиентов пострадало вдвойне: их взломали через собственное приложение компании, и узнали они об этом не от ASOS.

Контраст: как с похожей атакой справился Betterment. В январе 2026 года американская инвестиционная платформа Betterment пережила атаку с очень похожей механикой: злоумышленники с помощью социальной инженерии (голосовой фишинг службы поддержки стороннего подрядчика) получили доступ к сторонней CRM-платформе и разослали клиентам поддельные сообщения от имени компании; пострадали данные 1,4 млн аккаунтов. Но вместо общих уверений Betterment объявила конкретные структурные меры: обязательную верификацию личности при любых запросах доступа к сторонним платформам, подтверждение изменений в системах коммуникации с клиентами по отдельному независимому каналу и регулярные тренировочные атаки социальной инженерии на собственных сотрудников и подрядчиков. Компания говорила не «мы разберёмся», а «вот что мы уже изменили, чтобы это не повторилось».

1. Скорость подтверждения — не главное, если за ней пустота. ASOS отреагировала быстро, но без конкретики, и доверие это не спасло.
2. Молчание о механике атаки работает против компании. Если не объяснить, как произошёл взлом, это сделают журналисты — и найдут более широкий масштаб, чем заявлено официально.
3. Структурные меры убеждают сильнее слов. Конкретные технические и процессные изменения, как у Betterment, создают ощущение контроля над ситуацией лучше любой фразы про «приоритет защиты клиентов».
4. Канал уведомления — часть репутации. Когда о взломе компании сообщают сами хакеры через её же официальное приложение, это самостоятельный репутационный удар, не зависящий от объёма утечки.

Источники: TechCrunch, Express & Star, CyberInsider

Данная публикация подготовлена агентством SERM Online. Для консультации по вопросам управления репутацией в условиях кризиса обращайтесь к специалистам https://serm.online/