Clientes da ASOS receberam uma notificação incomum pelo aplicativo móvel oficial da loja de moda após hackers alegarem que haviam roubado dados da empresa e exigido contato da equipe de segurança.
A notificação foi endereçada ao responsável pela proteção de dados e ao departamento de TI da ASOS. Alegou que os atacantes comprometeram o ambiente Snowflake da varejista e ameaçaram vazar informações roubadas a menos que a empresa os contatasse.
O alerta também incluía um contato do Telegram aparentemente controlado pelos atacantes. Enviar uma mensagem de extorsão pelo próprio aplicativo da ASOS significava que os clientes podiam ver a demanda diretamente em seus telefones, em vez de os hackers se comunicarem em privado com a empresa.
A ASOS reconheceu os relatos relacionados ao incidente, mas não confirmou publicamente que ocorreu uma violação de dados. A empresa também não divulgou se as informações dos clientes foram acessadas ou como uma notificação não autorizada foi enviada por meio de seu aplicativo.
Reportagens separadas indicam que a ASOS está investigando se foi hackeada, embora a própria empresa não tenha anunciado publicamente uma investigação.
A alegação dos atacantes sobre o acesso ao ambiente Snowflake da ASOS também permanece não verificada. Atualmente, não há evidências de que o próprio Snowflake tenha sofrido uma violação de segurança mais ampla.
Embora a notificação não autorizada seja evidência de que algo incomum ocorreu dentro de um sistema capaz de alcançar usuários do aplicativo ASOS, ela não comprova a alegação separada dos hackers de que roubaram dados de clientes.
O site e o aplicativo da ASOS continuaram disponíveis após o incidente. No entanto, a notícia do possível ataque cibernético afetou os investidores, com as ações da varejista caindo drasticamente após surgirem relatos sobre a mensagem do hacker.
Os clientes também devem ter cautela com tentativas de phishing que possam se aproveitar da publicidade. Golpistas frequentemente usam relatos de grandes incidentes cibernéticos para enviar e-mails convincentes de redefinição de senha, reembolso ou segurança de conta, projetados para roubar dados de login.