ASOS ha confirmado un incidente de ciberseguridad después de que los atacantes obtuvieran acceso no autorizado a sistemas de terceros utilizados para comunicarse con clientes y enviaran una notificación amenazante a través de la aplicación móvil oficial del minorista.
El incidente se hizo público el 6 de octubre cuando los clientes recibieron una notificación push inesperada que afirmaba que ASOS había sido hackeado. El mensaje se dirigía al responsable de protección de datos y al equipo de TI de la empresa, y amenazaba con filtrar información robada a menos que ASOS contactara con los atacantes.
ASOS confirmó posteriormente que la notificación no era autorizada y dijo que restringió inmediatamente el acceso a las plataformas de comunicación afectadas. La empresa está trabajando con especialistas en ciberseguridad internos y externos, así como con las autoridades competentes, para determinar el alcance completo del incidente.
Es posible que se accediera a información básica de los clientes, incluidos nombres y datos de contacto. Sin embargo, ASOS actualmente no cree que la información de las tarjetas de pago o las contraseñas de las cuentas de clientes hayan sido comprometidas.
El grupo que se autodenomina Xuanye Group. En su notificación, los atacantes afirmaron haber comprometido completamente el entorno Snowflake de ASOS, pero ASOS no ha confirmado esa afirmación ni revelado cuántos clientes podrían haberse visto afectados.
Snowflake inició su propia investigación tras enterarse del incidente y afirmó que no había encontrado pruebas de que su plataforma hubiera sido comprometida. Esto deja abierta la posibilidad de que el incidente implicara credenciales específicas del cliente u otro servicio de terceros, en lugar de un fallo de seguridad que afectara a Snowflake en general.
ASOS ha añadido una advertencia dentro de su aplicación que indica a los clientes que ignoren la notificación no autorizada y eviten interactuar con el enlace externo que contiene. Actualmente, el minorista no está pidiendo a los clientes que cambien sus contraseñas ni tomen otras acciones específicas.
La página web y la aplicación móvil de la empresa siguen funcionando con normalidad, y ASOS afirma que los clientes pueden seguir comprando. Sin embargo, las autoridades de ciberseguridad del Reino Unido recomiendan que los clientes de ASOS permanezcan alerta ante correos electrónicos, mensajes de texto y otros mensajes sospechosos que puedan utilizar información de contacto expuesta para hacer que los intentos de phishing sean más convincentes.
ASOS aún no ha revelado cómo los atacantes accedieron a sus sistemas de comunicación ni ha confirmado exactamente cuánta información de los clientes se expuso. La investigación sigue en curso.