ASOS mengungkap bahwa data pribadi pelanggan telah diakses oleh peretas dalam insiden siber yang terungkap pada 6 hingga 8 Oktober 2026.
Informasi yang terdampak mencakup nama, alamat, nomor telepon, email, nomor pelanggan, tanggal lahir, serta riwayat pencarian pengguna.
Menurut BBC, data tersebut berpotensi mencakup profil jutaan pelanggan.
Sebelumnya, ASOS hanya menyatakan informasi kontak dasar mungkin telah diakses.
Namun, bukti sampel data kemudian menunjukkan cakupan yang lebih luas.
Data yang terlihat dalam sampel mencakup istilah pencarian pelanggan seperti "reclaimed vintage", "glamorous wide fit", dan "Asos petite".
BBC juga melaporkan seorang pelanggan telah menggunakan ASOS sejak 2019, informasi yang turut terdapat dalam data yang dicuri.
Seorang pelanggan menyebut kondisi itu mengkhawatirkan karena informasi tersebut dapat dipakai untuk serangan lanjutan.
"Yang menurut saya sangat mengkhawatirkan adalah kemungkinan data curian digunakan sebagai alat untuk serangan di masa depan, yang berarti dampak kebocoran dapat melampaui insiden awal," ujar Harriet, pelanggan ASOS.
ASOS menyatakan data kartu bank dan kata sandi tidak diakses.
Perusahaan juga memperingatkan pelanggan mengenai kemungkinan penipuan yang menyamar sebagai pihak resmi ASOS.
"Harap tetap waspada terhadap pesan atau panggilan tak terduga yang mengaku berasal dari ASOS," ujar ASOS dalam email kepada pelanggan.
ASOS menegaskan komunikasi tidak diminta tidak akan digunakan untuk meminta kredensial atau informasi pembayaran.
Perusahaan menyebut penyelidikan masih berlangsung dan pelanggan akan dihubungi jika membutuhkan informasi, dukungan, atau tindakan tambahan.
"Kami tidak akan pernah meminta Anda membagikan kata sandi, kode keamanan, atau informasi pembayaran melalui pesan atau panggilan yang tidak diminta," ujar ASOS.
Kronologi dan Respons Perusahaan
Insiden menjadi perhatian publik setelah sistem aplikasi ASOS mengirim notifikasi pop-up kepada berpotensi jutaan pengguna pada Selasa.
Pada hari yang sama, ASOS mengonfirmasi kepada pemegang saham melalui London Stock Exchange bahwa notifikasi tersebut dikirim pihak tidak berwenang.
"Pihak ketiga yang tidak berwenang," ujar ASOS dalam keterangannya kepada London Stock Exchange.
Dalam konfirmasi yang sama, perusahaan menyatakan informasi pribadi dasar mungkin telah diakses.
"Informasi pribadi dasar termasuk nama dan detail kontak mungkin telah diakses," ujar ASOS.
BBC melaporkan pelaku kemudian menghubungi media tersebut pada Rabu malam dan memberikan sampel data yang menunjukkan cakupan insiden.
BBC menunda publikasi agar ASOS dapat memberi tahu pelanggan lebih dahulu.
ASOS menjelaskan kredensial diperoleh setelah pelaku menyamar sebagai kontak tepercaya untuk mendapatkan akses akun seorang karyawan.
Dari akses tersebut, pelaku dapat mengunduh data pelanggan melalui layanan yang tidak disebutkan namanya.
Dalam notifikasi yang dikirim pelaku, mereka mengklaim telah mengakses lingkungan Snowflake.
"Kami telah menyusupi lingkungan Snowflake," ujar pelaku dalam notifikasi yang diterima pelanggan.
ASOS menyebut situs dan aplikasinya tetap aman digunakan serta mengatakan perusahaan telah memperkuat pengendalian keamanan.
"Kami tahu pelanggan mempercayakan informasi mereka kepada kami," ujar ASOS.
Perusahaan menegaskan tanggung jawab tersebut ditangani serius dan langkah tambahan telah diterapkan untuk memperkuat keamanan.
"Kami menganggap tanggung jawab itu serius dan telah mengambil langkah tambahan untuk semakin memperkuat pengendalian keamanan," ujar ASOS.
Pusat Keamanan Siber Nasional Inggris pada 6 Oktober menyatakan ASOS sedang menyelidiki insiden siber dan informasi pribadi pelanggan telah diakses.
Analisis Rescana menyebut serangan bermula dari rekayasa sosial terhadap karyawan, lalu berlanjut melalui lingkungan penyedia layanan pihak ketiga yang terhubung dengan infrastruktur data pelanggan ASOS.
Analisis itu menilai riwayat pencarian meningkatkan risiko phishing yang ditargetkan.
Rescana juga menyebut kelompok yang mengaku bertanggung jawab sebagai "Xuanye Group".
Menurut analisis tersebut, akses langsung terhadap pelanggan melalui kanal komunikasi resmi meningkatkan dampak insiden dan risiko serangan lanjutan.
Trevor Dearing, Senior Director of Critical Infrastructure di Illumio, memperingatkan bahwa kata sandi tidak termasuk data yang dicuri sehingga pelanggan perlu mencurigai pesan yang meminta perubahan atau pembagian kata sandi.
"Kata sandi tidak dicuri, jadi sangat curigai pesan teks atau email yang tidak diminta yang meminta Anda mengubah atau membagikan kata sandi," ujar Trevor Dearing, Senior Director of Critical Infrastructure di Illumio.
Dearing juga memperingatkan penipu dapat memanfaatkan informasi pribadi korban untuk membuat komunikasi terlihat meyakinkan dan menciptakan tekanan waktu.
"Perkirakan penipu menyebut serangan ini, menggunakan detail pribadi Anda agar terlihat asli, dan menciptakan urgensi, seperti mengancam mengunci akun Anda dalam 24 jam," ujar Trevor Dearing.
