英国のサイバーセキュリティ機関NCSCは2026年10月6日、ASOSの一部顧客に不正なプッシュ通知が届いた事案を公表しました。ASOSによると、顧客の氏名や連絡先を含む個人情報に不正アクセスがあり、調査を進めています。NCSCは、通知を受け取っていない顧客も影響があると想定して対応するよう勧告しています。
通知の有無だけでは影響を判断できません
プッシュ通知は、アプリなどから端末に届くお知らせです。NCSCによると、2026年10月6日に一部のASOS顧客へ不正な通知が届きました。ただし、通知を受け取った人だけが今回の注意喚起の対象ではありません。
ASOSは、氏名や連絡先を含む個人情報への不正アクセスがあったとしています。一方、決済カード情報とアカウントのパスワードには影響がなかったと考えています。これはASOSの現時点の説明であり、不正な活動の調査は続いています。カード情報やパスワードへの影響がないという説明と、個人情報への不正アクセスは分けて捉える必要があります。
NCSCは、プッシュ通知、メール、メッセージに含まれる不審なリンクを開かないよう勧告しています。情報漏えいから時間がたって届く不審なメッセージにも注意を呼びかけています。社内で案内する際も、その日の通知だけを確認して終わりにしないことが重要です。
日本での提供は発表には書かれていません。日本の顧客への影響範囲についても、資料では確認できません。
影響する会社・しない会社
- 影響する: ASOSを利用している社員がいる会社は、本人への注意喚起を検討する対象です。NCSCは通知を受け取っていないASOS顧客にも、影響があると想定するよう勧告しています。ただし、社員の利用だけを理由に、会社のシステムまで侵害されたと判断する根拠はありません。
- 影響する: 顧客向けアプリ通知を運用する会社では、自社の対応手順を見直す参考になります。今回の事案では、通知への対応と個人情報への不正アクセスの確認を、別の確認事項として整理できます。自社でも同じ事案が起きているという意味ではありません。
- 影響しない: ASOSを利用していない会社・社員について、この事案による直接の影響を示す情報は資料にありません。ただし、影響しない国や地域、顧客の条件は発表には書かれていません。
情シスが今日やること
以下は、NCSCの勧告を踏まえた社内対応の提案です。ASOSが企業向けに指定した作業や期限ではありません。
- 今日、社内の相談窓口へ確認項目を共有します。 ASOS利用者から相談があった場合は、通知の有無だけで対象外と扱わないよう伝えます。確認項目は「ASOSの利用有無」「不審な通知や連絡の有無」「リンクを開いたか」に分けます。利用者一覧を全社から集めるのではなく、まず相談を受ける担当者の対応をそろえます。
- 今日、利用者向けの注意文を用意します。 不審なプッシュ通知、メール、メッセージのリンクを開かないことを伝えます。通知未受信でも注意が必要なことと、時間がたってから不審な連絡が来る可能性への警戒も含めます。カード情報とパスワードは、ASOSが影響はなかったと考えている、という範囲で説明します。
- 利用者に、認証設定の確認を案内します。 NCSCは、パスキーというパスワードに代わる認証方法の利用を推奨しています。また、強固で使い回さないパスワードと、追加の確認を行う2段階認証の併用も推奨しています。資料にはASOSの設定画面名や各方式への対応状況がないため、具体的な操作手順や、利用できる方式は断定しないでください。
- 今日の共有後も、後日届く連絡の相談先を明示します。 情シスや社内のセキュリティ担当など、誰に相談するかを案内文に記載します。今回の通知を受け取らなかった人や、時間がたって不審な連絡を受けた人も相談できる形にします。
個人情報漏えいへの社内の備えを整理する際は、個人情報保護委員会が漏えい対策を注意喚起 情シスの今週の確認も参考にしてください。
