El minorista británico de moda ASOS ha revelado que su reciente filtración de datos comenzó con un ataque de ingeniería social en el que hackers engañaron a un empleado para que entregara sus credenciales de cuenta.
La empresa divulgó los hallazgos el 8 de octubre, dos días después de que los clientes recibieran una notificación no autorizada a través de la aplicación móvil oficial de ASOS. El incidente expuso información de los clientes y planteó dudas sobre cómo los atacantes obtuvieron el control de un canal de comunicación utilizado por el minorista.
Según ASOS, los atacantes se hicieron pasar por un contacto de confianza para obtener los datos de acceso de un empleado. Luego utilizaron la cuenta comprometida para acceder a plataformas de terceros de las que ASOS depende para comunicarse con los clientes.
Esta técnica, conocida como ingeniería social, consiste en manipular a alguien para que revele información sensible o conceda acceso. En lugar de explotar directamente una vulnerabilidad de software, los delincuentes aprovechan la confianza de una persona para eludir las protecciones de seguridad.
ASOS confirmó que los atacantes accedieron a información personal básica, incluidos nombres de clientes y datos de contacto. También se expuso cierta información no personal de la cuenta, con informes que indican que esto incluía búsquedas recientes de compras de clientes.
Sin embargo, el minorista afirmó que su investigación no encontró pruebas de que las contraseñas de las cuentas de clientes o la información de tarjetas de pago estuvieran comprometidas.
El ataque se hizo visible por primera vez el 6 de octubre cuando los clientes recibieron una notificación push afirmando que ASOS había sido hackeado. El mensaje amenazaba con filtrar información a menos que la empresa contactara con los atacantes a través de Telegram.
Un grupo que se hace llamar Xuanye Group reivindicó la responsabilidad y alegó que había comprometido el entorno Snowflake de ASOS. Esa afirmación específica no ha sido verificada, y Snowflake ha dicho que no encontró pruebas de que su propia plataforma estuviera comprometida.
Tras el incidente, ASOS restringió el acceso a las plataformas de terceros afectadas e inició una investigación que involucró a especialistas en ciberseguridad internos y externos. La empresa también está cooperando con las autoridades policiales y reguladoras.
ASOS ha asegurado a sus clientes que su sitio web y su aplicación móvil permanecieron seguros durante todo el incidente. No ha pedido a los usuarios que restablezcan sus contraseñas ni tomen medidas inmediatas sobre sus cuentas.
No obstante, el minorista advirtió a los clientes que mantuvieran precaución ante llamadas, correos electrónicos o mensajes de texto inesperados que afirmen provenir de ASOS. La información de contacto expuesta podría hacer que los intentos de phishing dirigidos resulten más convincentes.
ASOS afirma que contactará directamente con los clientes si su investigación continua identifica la necesidad de apoyo adicional o acción protectora.