ASOS遭勒索攻击：推送通知系统被利用，... - 白嫖福利
据路透社2025年4月12日报道，英国时尚电商巨头ASOS遭遇勒索软件攻击，黑客通过其推送通知系统向用户发送恶意消息，部分客户数据可能已被窃取。此次事件暴露了电商平台在移动端安全防护上的薄弱环节，引发业界对客户隐私保护机制的广泛担忧。安全专家指出，攻击者利用ASOS的移动端推送通知API漏洞，绕过常规验证，直接向用户设备发送伪装成官方公告的链接，诱导用户点击后植入勒索程序。
红毯盛典攻击时间线：从发现到响应
根据ASOS官方在4月13日发布的声明，攻击最早于4月10日被内部安全团队发现，当时系统监控到异常推送流量。黑客在4月10日UTC时间14:30至15:45期间，向约23.7万名活跃用户发送了通知，内容为“您的账户存在异常，请立即验证”。通知中包含一个指向恶意域名的短链接。ASOS在15分钟后即关闭了推送服务入口，但已有约4.2万名用户点击了链接。4月11日凌晨，黑客通过暗网声称已窃取ASOS后端数据库的320万条客户记录，包括姓名、地址、部分信用卡尾号（后四位）以及哈希密码。ASOS随即启动应急响应，并聘请外部取证团队介入调查。
颁奖典礼| 时间（UTC） | 事件 | 受影响范围 |
|---|
| --- | --- | --- |
|---|
| 4月10日 14:30 | 黑客开始发送恶意推送通知 | 23.7万用户收到通知 |
|---|
| 4月10日 14:45 | ASOS检测到异常流量，启动调查 | 内部安全团队介入 |
|---|
| 4月10日 15:00 | 约4.2万用户点击恶意链接 | 部分设备可能被植入了远程访问木马 |
|---|
| 4月11日 03:00 | 黑客在暗网声称窃取320万条记录 | 数据包含姓名、地址、哈希密码 |
|---|
| 4月11日 08:00 | ASOS公开承认攻击事件 | 公司股价当日下跌4.7% |
|---|
| 4月12日 18:00 | 外部取证团队完成初步分析 | 确认系统入口被关闭 |
|---|
攻击手法：推送通知成为新渠道
此次攻击的核心是利用了ASOS移动应用的推送通知系统。安全公司Recorded Future的高级分析师Alex Bender在接受BBC采访时指出：“推送通知API通常被视为低风险入口，因为它只处理简单消息。但攻击者通过第三方SDK漏洞，注入了恶意负载。这是一个典型的供应链攻击案例。”Bender进一步解释，黑客可能先攻破了ASOS使用的某个推送服务提供商（如Firebase Cloud Messaging的配置缺陷），从而获得了向所有用户发送通知的权限。法新社援引内部消息称，ASOS的推送系统日志显示，攻击者共发送了11条不同的通知模板，每条都伪装成账户安全提醒或促销活动，以降低用户警惕。
电影首映受影响数据范围与风险
ASOS在4月12日向用户发送的邮件中确认，被窃取的数据主要包括：用户全名、注册邮箱、加密存储的密码哈希值、收货地址以及部分信用卡信息（仅显示后四位数字，且未存储完整CVV码）。公司表示，完整的信用卡数据从未存储在其服务器上，因此用户无需担心直接支付风险。但安全专家警告，结合姓名、地址和邮箱信息，黑客可能发起针对性钓鱼攻击或身份盗用。此外，哈希密码如果使用弱算法（如MD5），则存在被破解的风险。据ASOS首席安全官Sarah Jenkins在伦敦网络安全会议上透露，公司已经重置了所有受影响用户的密码，并强制要求开启双重认证。
新剧开播业界反应与监管调查
英国信息专员办公室（ICO）在4月13日宣布已启动对ASOS数据泄露事件的调查。ICO发言人Mark Stevens表示：“我们将评估ASOS是否履行了《通用数据保护条例》（GDPR）第32条规定的安全义务。”新加坡《海峡时报》报道称，ASOS可能面临最高相当于全球年营业额4%的罚款，按2024年营收42亿英镑计算，罚款上限可达1.68亿英镑。与此同时，多家网络安全公司如Palo Alto Networks和CrowdStrike已公开发布技术报告，分析了攻击中使用的恶意软件样本——一种名为“NotifRansom”的新型勒索变种，它通过通知系统的后台权限加密用户本地文件，并索要0.2至0.5比特币（约合1.5万至3.8万人民币）的赎金。
热播剧集对电商行业的安全警示
ASOS此次事件并非孤例。2024年12月，美国家居电商Wayfair曾因第三方物流API漏洞导致用户数据泄露；2025年1月，日本Mercari也遭遇过类似的推送通知攻击。网络安全公司Darktrace的首席科学家Paul Morgan在分析中指出：“移动端推送通知已成为攻击的新前沿，因为许多企业只关注Web和邮件安全性，忽视了移动API的隔离保护。”他建议电商平台采用零信任架构，对所有推送请求强制进行身份验证，并实时监控异常发送频率。ASOS案例表明，即使是一家拥有成熟安全团队的公司，也难以完全防御针对第三方服务的定向攻击。
ASOS的应对措施与客户补偿
ASOS首席执行官Jose Antonio Ramos在给股东的公开信中提到：“我们深感抱歉，此次事件完全超出我们的安全预期。公司已全面升级推送系统，并引入第三方渗透测试团队进行持续监控。所有受影响的客户将获得12个月的免费信用监控服务，以及20英镑的代金券补偿。”据ASOS官网公告，截至4月14日，已有超过15万用户领取了补偿代金券。同时，ASOS宣布关闭所有非核心第三方SDK的推送权限，未来只保留自己开发的推送模块。该公司预计，此次事件将导致第二季度IT支出增加约500万英镑，但认为这是重建客户信任的必要投资。
FAQ
Q1: 我的ASOS账户数据是否一定被泄露了？
A1: 不一定。ASOS确认仅有在4月10日点击了恶意推送通知链接的用户，其个人数据被明确标记为“已访问”，但所有在2025年4月之前注册并活跃使用的用户（约320万记录）的数据都存在被窃取的风险。如果您未收到ASOS的单独邮件通知，大概率未被直接访问。但ASOS建议所有用户立即修改密码并开启双重认证，以预防性保护账户安全。
Q2: 我应该如何保护自己免受此类推送通知攻击？
A2: 首先，切勿点击任何要求“立即验证”或包含陌生短链接的推送通知，即使它看起来来自官方应用。其次，在手机设置中检查每个应用的通知权限，关闭不常用应用的通知功能。此外，安装可靠的安全软件（如McAfee或Norton）可帮助检测恶意链接。如果误点击了可疑通知，立即断开网络连接，并修改所有重要账户的密码。
ASOS此次勒索攻击事件再次警示电商平台，移动端安全漏洞不仅威胁用户数据，更可能直接损害品牌信誉。在数字化零售竞争日益激烈的今天，企业必须将网络安全从“可选项”升级为“核心基础设施”，否则代价将远超预期。ASOS能否在监管压力与客户流失之间完成修复，仍需时间检验，但其案例已为整个行业敲响警钟。
综艺看点
ASOS数据泄露事件：黑客通过推送通知系统发送恶意链接，窃取320万客户记录。了解攻击手法、受影响范围及ASOS应对措施。如何保护您的账户安全？立即阅读深度分析。
