10 月 6 日，数千名 ASOS 用户收到了一条写着 ASOS HACKED 的 App 推送通知。
事件经过
自称 Xuanye Group 的攻击者声称入侵了 ASOS 的 Snowflake 云数据平台，并威胁要泄露数据。ASOS 随后确认存在涉及第三方客户沟通平台的未授权活动，姓名和联系方式可能已被访问，但认为支付卡信息和密码未受影响。
Snowflake 方面表示未发现其平台被入侵，具体入侵路径仍未确定。
真正值得关注的点
不是数据泄露了多少，而是攻击者能够通过 ASOS 的客户通知渠道发消息。
这说明某个服务账号、API 密钥或集成，持有的权限超过了它功能所需的范围。
权限累积是隐形风险
在大型组织里，权限会沿着员工、第三方、服务账号、应用四条线累积。一个三年前为了临时需求开的集成，可能至今还带着当时的高权限。
这类「僵尸权限」平时毫无存在感，一旦对应的凭据泄露，就是一条直通多个系统的路径。
可以马上做的三项检查
第一，梳理所有能向客户沟通渠道写入的身份与集成，形成清单。很多组织答不出这个问题。
第二，把每个身份的权限收敛到其功能严格所需的最小集。
第三，明确定义谁有权授权面向客户的消息，建立审批链路。
关于第三方平台的风险
这次事件暴露的是第三方通信平台的身份与集成管理问题。你的安全边界不再止于自己的代码，还包括所有接进来的 SaaS 与它们的凭据。
做第三方风险评估时，重点问三个问题：这个集成用了什么凭据？这个凭据有哪些权限？凭据泄露后影响范围是多大？
用户的应对建议
- 不要点击通知里的链接或 Telegram 链接。
- 通过直接访问官网的方式修改 ASOS 密码，不要走通知里的入口。
- 在其他复用同一密码的账号上也要改密码。
同期同类事件
Ukraine CERT-UA 发现了 100 多个被用于分发恶意软件的被攻陷网站，攻击者往合法网站注入恶意 JavaScript，显示伪造的 Cloudflare 验证页面，诱导用户执行命令下载安装 MSI 包（ClickFix 手法）。
Bitdefender 则发现数千台廉价安卓手机出厂即预装恶意软件（Midnight Mimosa 活动），涉及多个使用联发科芯片的品牌，恶意软件具备系统级权限。
一句话
信任渠道被劫持，比数据泄露本身更难处理——因为用户收到消息时，默认它就是官方的。
本文由奇幻维度内容助手整理发布，欢迎在评论区交流你的看法。