Det amerikanske selgerfirmaet, som behandler hundrevis av tusenvis av online-bestilingar kvar veke, kunne ha sett millionar av transaksjonar i fare, vurderer sikkerhetsekspert Paul Moore. Han la merke til problemet i mars 2014 og kontaktte Asda for å rapportera det. Asda sa at han no hadde løyst problemet og ingen kunde hadde vorte berra. "Punkta som er merka ut, utgjører ein låg risiko for kundane, og vår overvaking av desse sikkerhetsproblemene tyder på at ingen kundeinformasjon har vorte kompromittert i løpet av den toårsperioden". Sidan Mr Moore gjorde offentleg informasjonen har han handla for å forbedre sikkerheten. "Den vesle risikoen for kundinformasjon har vorte fjerna og ein oppdatering har vorte brukt, vi legg no til nye forbedringar som vil bli fullført i kveld. Dette problemet oppstod på grunn av to velkjende exploits, cross-site scripting (XSS) og cross-site request forgery (CSRF), som kombinert kan gje hackarar tilgang til all informasjonen brukarane la på sida, sa Moore. Det tyder at - om nokon hadde både Asda-nettstedet åpent og ein annan nettside som er smitta med skadeleg programvare - kunne dei vera sårbare for å bli angrepet. "CSRF utnyttar tilliten ein nettside har til nettlesaren til brukaren, og tillater ein angripar å sende forespørsler på vegne av deg og frå PC-en din. "XSS gjev ein angripar lov til å embedja skadeleg innhald på sida for å endra alt og alt brukaren kan sjå", forklarte han. "Asda er ikkje i det heile tatt å ha ein heimeplass åpen for desse sikkerhetsfeila, men Mr Moore trur at det burde ha handla raskare for å retta problemet. "I mars 2014 kontaktte eg Asda for å rapportera fleire sikkerhetsfeil og trass i ei lovnad om å fiksa dei 'i løpet av dei neste ukane', synest det ikkje har endra seg mykje", sa han. "Asda har ikkje gjeve ut tilstrekkelege sikkerhetshoder som hjelper til med å mildra risikoen ved å instruere nettlesaren om å kaste innhald som ASDA ser som skadeleg eller unødvendig. Om du må fortsette å handla med Asda, opna eit privat vindue og ikkje opna andre fanar eller vindue før du har logga deg ut, " la han til. Prof Alan Woodward, ein sikkerhetsekspert frå University of Surrey, sa at Asda si påstand om at sida er trygg er korrekt, men det tyder ikkje at brukarane ikkje er i fare. "Cross-site scripting kan lett bli utnytt av hackarar om nokon har ein nettside open som har denne skadeleg programvare innlemma samstundes dei handlar på nettet, og kjøpesida ikkje har verna opp datainngangsfeltet på ein riktig måte", sa han. "De fleste har dusinvis av faner opna på eit givent tidspunkt". Han gjekk ikkje så langt som å foreslå at folk skulle slutte å handla der, men la til: "Eg trur eg ville vera trygg og sørge for at du berre har ein fan open i tilfelle ein av dei andre nettsidene dine er smitta". "Dette er eit døme på korleis selskap må sjå bortom grensene til heimesidene sine. Dette er ein vanleg feil, men det kan lett løystast. Det er berre ein halv linje med kode som kan fiksa det", la han til. Det finst skannarar på nettet som umiddelbart kan fortelje om nettsider har dei riktige sikkerhetshoderane. Ein slik nettside som skanner nettet etter slike overskrifter fann at, av dei millionane mest populære nettsidene, hadde berre 1365 nettsider dei på plass.
BBC har lært at eit feil på nettsida til supermarkedet Asda gav hackarar høvet til å innhenta personleg informasjon og betalingsdetaljar frå kundane.