A ASOS confirmou um incidente de cibersegurança após invasores obterem acesso não autorizado a sistemas de terceiros usados para se comunicar com clientes e enviarem uma notificação ameaçadora pelo aplicativo móvel oficial da varejista.
O incidente tornou-se público em 6 de outubro, quando os clientes receberam uma notificação push inesperada alegando que a ASOS havia sido hackeada. A mensagem foi endereçada ao responsável pela proteção de dados e à equipe de TI da empresa, ameaçando vazar informações roubadas a menos que a ASOS entrasse em contato com os atacantes.
A ASOS confirmou posteriormente que a notificação não foi autorizada e disse que restringiu imediatamente o acesso às plataformas de comunicação afetadas. A empresa está trabalhando com especialistas internos e externos em cibersegurança, bem como com autoridades competentes, para determinar a extensão total do incidente.
Informações básicas de clientes, incluindo nomes e dados de contato, podem ter sido acessadas. No entanto, a ASOS atualmente não acredita que informações de cartão de pagamento ou senhas de contas de clientes tenham sido comprometidas.
O grupo que reivindica a responsabilidade se autodenomina Grupo Xuanye. Em sua notificação, os atacantes afirmaram que comprometeram totalmente o ambiente Snowflake da ASOS, mas a ASOS não confirmou essa alegação nem revelou quantos clientes podem ter sido afetados.
A Snowflake iniciou sua própria investigação após tomar conhecimento do incidente e afirmou não ter encontrado evidências de que sua plataforma em si tivesse sido comprometida. Isso deixa em aberto a possibilidade de que o incidente envolvesse credenciais específicas do cliente ou outro serviço de terceiros, e não uma falha de segurança afetando a Snowflake de forma mais ampla.
A ASOS adicionou um aviso dentro do aplicativo orientando os clientes a ignorarem a notificação não autorizada e evitarem interagir com o link externo que ele continha. O varejista atualmente não está pedindo aos clientes que mudem suas senhas ou tomem outras ações específicas.
O site e o aplicativo móvel da empresa continuam operando normalmente, e a ASOS afirma que os clientes podem continuar comprando. As autoridades de cibersegurança do Reino Unido, no entanto, recomendam que os clientes da ASOS permaneçam atentos a e-mails, mensagens de texto e outras mensagens suspeitas que possam usar informações de contato expostas para tornar as tentativas de phishing mais convincentes.
A ASOS ainda não revelou como os atacantes acessaram seus sistemas de comunicação nem confirmou exatamente quantas informações dos clientes foram expostas. A investigação continua em andamento.