A varejista britânica de moda ASOS revelou que sua recente violação de dados começou com um ataque de engenharia social no qual hackers enganaram um funcionário para que entregasse suas credenciais de conta.
A empresa divulgou as descobertas em 8 de outubro, dois dias após os clientes receberem uma notificação não autorizada pelo aplicativo móvel oficial da ASOS. O incidente expôs informações dos clientes e levantou questões sobre como os atacantes assumiram o controle de um canal de comunicação usado pelo varejista.
Segundo a ASOS, os atacantes se passaram por um contato confiável para obter os dados de login de um funcionário. Depois, eles usaram a conta comprometida para acessar plataformas de terceiros das quais a ASOS depende para se comunicar com os clientes.
Essa técnica, conhecida como engenharia social, envolve manipular alguém para revelar informações sensíveis ou conceder acesso. Em vez de explorar diretamente uma vulnerabilidade de software, os criminosos aproveitam a confiança da pessoa para burlar as proteções de segurança.
A ASOS confirmou que os atacantes acessaram informações pessoais básicas, incluindo nomes de clientes e dados de contato. Certas informações não pessoais da conta também foram expostas, com relatos indicando que isso incluía buscas recentes de compras dos clientes.
No entanto, a varejista afirmou que sua investigação não encontrou evidências de que senhas de contas de clientes ou informações de cartões de pagamento tenham sido comprometidas.
O ataque ficou visível pela primeira vez em 6 de outubro, quando os clientes receberam uma notificação push alegando que a ASOS havia sido hackeada. A mensagem ameaçava vazar informações a menos que a empresa entrasse em contato com os atacantes pelo Telegram.
Um grupo autodenominado Grupo Xuanye assumiu a responsabilidade e alegou que comprometeu o ambiente Snowflake da ASOS. Essa alegação específica não foi verificada, e a Snowflake afirmou não encontrar evidências de que sua própria plataforma tenha sido comprometida.
Após o incidente, a ASOS restringiu o acesso às plataformas terceirizadas afetadas e iniciou uma investigação envolvendo especialistas internos e externos em cibersegurança. A empresa também está cooperando com as autoridades policiais e regulatórias.
A ASOS assegurou aos clientes que seu site e aplicativo móvel permaneceram seguros durante todo o incidente. Ela não pediu aos usuários que redefinissem suas senhas ou tomassem medidas imediatas em suas contas.
No entanto, o varejista alertou os clientes para manterem cautela com ligações, e-mails ou mensagens de texto inesperadas que afirmem vir da ASOS. Informações de contato expostas podem tornar as tentativas de phishing direcionadas mais convincentes.
A ASOS afirma que entrará em contato diretamente com os clientes caso sua investigação contínua identifique necessidade de suporte adicional ou ação protetora.