英国のファッション通販ASOSは2026年10月6日、顧客向けの不正なプッシュ通知が送られ、顧客との連絡に使う第三者プラットフォームで不正な活動を調査していると公表しました。氏名や連絡先にアクセスされた可能性がありますが、影響人数は明らかになっていません。
日本から利用している場合も、通知が届いたかどうかだけで判断せず、今後届く連絡に注意が必要です。この記事は10月7日午前11時06分（日本時間）までに確認できた公式案内と報道を整理しています。
- 不正な顧客通知の送信は確認済み。個人情報へのアクセスは可能性として調査中。
- カード情報・パスワードへの影響は、現時点ではないと同社は説明。
- サイトとアプリは通常稼働。不正通知のリンクは開かない。
10月6日の通知と公表、侵入開始日は別
ASOSの企業開示（RNS）によると、不正な通知は10月6日午前10時ごろに送られました。開示ページには同日15時15分と表示されています。これらは発表・掲載ページにある時刻表記です。表示のタイムゾーンを独立確認できていないため、本記事では日本時間に換算していません。
ただし、通知が送られた時間を、そのまま侵入開始時刻や検知時刻とみなすことはできません。侵入がいつ始まり、同社が最初にいつ検知したかは、確認した公式案内では示されていません。同社は通知プラットフォームへのアクセスを制限し、社内外の専門家や関係当局と対応しています。
氏名・連絡先は「可能性」、被害人数は未公表
ASOSの顧客向け案内は、氏名や連絡先などの基本的な個人情報にアクセスされた可能性を説明しています。一方、決済カード情報やアカウントのパスワードは影響を受けていないと考えている、というのが現在の見解です。調査終了による最終確定ではありません。
企業開示にはアクティブ顧客数として1,650万人という数字がありますが、これは会社紹介の数値です。今回の被害人数や流出件数として使うことはできません。日本の利用者が含まれるか、地域別に何人が対象かについても、確認した案内に具体的な内訳はありません。
不正なアプリ通知が発端となった点は、BleepingComputerの10月6日報道でも取り上げられています。侵入経路や攻撃者については、公式調査の結果を待つ必要があります。
通知が来ていなくても、不審な連絡に注意
英国国家サイバーセキュリティセンター（NCSC）の注意喚起は、通知を受け取っていなくても、ASOSの顧客は影響があるものとして警戒するよう求めています。これは全顧客の情報流出を確定したという意味ではなく、被害範囲が未確定な段階での予防的な案内です。
- 不正プッシュ通知に含まれる外部リンクを開かず、相手に連絡しない。
- 確認するときは通知経由を避け、公式サイトやアプリを自分で開く。
- 後から届くメールやメッセージにも注意し、個人情報や決済情報を求められても即座に入力しない。
ASOSは現時点で、利用者にパスワード変更などの追加対応を求めていません。必要な対応が変わる場合は対象者に直接連絡するとしています。NCSCは一般的な対策として、使い回さない強いパスワードや2段階認証なども案内しています。企業からの通知を装う連絡に備え、今後も公式の更新を確認することが大切です。
買い物の継続と、情報への影響は分けて確認
サイトとアプリは通常どおり稼働し、ASOSは買い物を続けられると説明しています。業務が動いていることと、顧客情報へのアクセスがなかったことは別の確認事項です。現時点でサービス停止やカードの一律停止が必要と公表された事案ではありません。
国内ではシチズンの委託先に関する問い合わせ情報の事案も取り上げました。シチズンは委託先サーバーに保存された問い合わせ情報への影響が問題となったのに対し、今回のASOSでは顧客への通知経路が不正な発信に使われた点も重要です。外部サービスが関わるというだけで、共通の攻撃者や原因があるとは判断できません。
国内外の企業被害を比較した前回記事とあわせ、対象データ、実際に起きた操作、サービスへの影響を分けて読むと、自分が取るべき対応を判断しやすくなります。今後は対象人数、侵入経路、情報の持ち出しの有無について、公式調査の更新が焦点になります。
コメント