黑客借Asos官方App“自曝”数据泄露，Snowflake成攻击跳板

【科技24时区】当英国时尚零售巨头Asos的用户收到来自官方App的推送通知，内容却是“公司已被攻破”时，这场网络安全危机便以一种极具讽刺意味的方式拉开了序幕。Asos已向伦敦证券交易所提交文件确认，其客户个人信息遭遇泄露，而攻击者正是利用该公司用于与客户沟通的第三方平台漏洞，实施了这次“反客为主”的通报。

据BBC新闻报道，此次泄露的数据维度相当敏感，不仅包含姓名、家庭住址、电话号码和电子邮件地址等基础身份信息，还涉及用户画像相关的备注信息，甚至包括用户在网站上的搜索查询记录。这种对隐私边界的深度侵蚀，远超一般意义上的账号盗用。值得注意的是，黑客通过发送“未经授权的客户通知”，直接向Asos的数据保护官及IT部门喊话，声称已“完全掌控”托管在Snowflake平台上的企业数据，并威胁称：“要么与我们接触，否则我们将公开这些数据。”

这一手法并非孤例。此前，金融科技巨头Betterment也曾遭遇类似攻击，黑客利用其对第三方营销平台的访问权限，冒充公司向客户发送加密货币诈骗信息，同时窃取了包括姓名、邮箱和电话在内的多项数据。然而，Asos案例的特殊性在于，攻击者直接劫持了应用内的推送系统。目前尚不清楚Asos运营的Snowflake实例是否启用了多因素认证（MFA），也不清楚黑客究竟如何突破了通常由第三方服务管理的App内推送通知系统。

据Bleeping Computer报道，黑客团伙“Xuanye Group”通过“冒充受信任联系人以获取登录凭证”的方式，渗透进了Snowflake实例。尽管Snowflake方面坚称其自身系统未遭破坏，但这起事件再次暴露了供应链安全中的薄弱环节：即便核心云平台固若金汤，若客户端的配置或身份验证机制存在疏漏，依然可能成为攻击者的突破口。Asos官网显示其拥有1700万客户，虽然黑客尚未披露具体窃取的数据量级，但考虑到其庞大的用户基数，潜在的风险敞口不容小觑。从某种角度看，这起事件不仅是技术层面的攻防博弈，更是对企业在数字化进程中如何平衡便捷性与安全性的严峻拷问。