Pocas veces un ciberataque es tan visible: clientes de Asos, la tienda de moda en línea británica, recibieron en su teléfono una notificación titulada "ASOS HACKED", enviada desde la propia aplicación de la marca. El 8 de octubre la empresa confirmó la filtración ante la Bolsa de Londres, y la historia se volvió viral en TechCrunch, BleepingComputer, The Record y medios especializados, donde algunos la calificaron como uno de los hackeos más visibles que se recuerdan.
Foto: Ann H / Pexels
Qué pasó
- El martes 6 de octubre, alrededor de las 5:00 de la mañana (hora del este de EE. UU.), usuarios de la app de Asos empezaron a recibir una notificación push no autorizada.
- El mensaje iba dirigido al responsable de protección de datos y al área de TI de la empresa. Afirmaba que los atacantes habían comprometido su instancia de Snowflake (un servicio de almacenamiento y análisis de datos en la nube) y amenazaba con filtrar la información si Asos no se ponía en contacto. Incluía un enlace a un canal de Telegram.
- Se atribuyó el ataque un grupo que se hace llamar Xuanye Group, un nombre que, según BleepingComputer, los expertos en extorsión digital no tenían registrado.
- Asos confirmó que plataformas de terceros que usa para comunicarse con sus clientes fueron accedidas sin autorización y que podrían haberse expuesto datos personales básicos, como nombres y datos de contacto. Según TechCrunch, entre los datos en riesgo también figuran direcciones, teléfonos, correos y notas del perfil de cliente.
- La empresa dijo que no cree que se hayan visto afectados los datos de tarjetas ni las contraseñas. No ha confirmado cuántos clientes están afectados; Asos tiene alrededor de 17 millones.
- TechCrunch reporta que los atacantes habrían obtenido credenciales haciéndose pasar por un contacto de confianza. Snowflake afirmó que sus propios sistemas no fueron vulnerados. Asos no ha confirmado la versión de los atacantes sobre Snowflake.
Por qué importa
El caso combina dos de los mayores riesgos actuales para cualquier comercio digital: las herramientas de terceros y la ingeniería social. No hizo falta romper un sistema sofisticado: bastó con engañar a una persona para obtener un acceso, y desde ahí los atacantes llegaron a la plataforma de notificaciones.
Para tiendas en línea, marcas y agencias de Latinoamérica, que dependen cada vez más de plataformas de CRM, email marketing, notificaciones push y almacenes de datos en la nube, la lección es directa: cada herramienta conectada a tu base de clientes es una puerta potencial.
Además, el ataque muestra un daño que va más allá del robo de datos. Usar el canal oficial de la marca para mandar una amenaza a los clientes destruye confianza en segundos.
Nuestro análisis
Lo que vuelve especial este caso es el canal. Las notificaciones push son una de las herramientas de marketing más valiosas: llegan directo a la pantalla del cliente, con el nombre y el logo de la marca. Si un atacante controla ese canal, puede hacer mucho más que exhibir a la empresa: podría enviar enlaces de phishing que la gente abriría sin dudar, porque vienen de una app en la que confía.
El eslabón débil no siempre es tuyo
Las empresas suelen pensar en seguridad en términos de su web y sus servidores. Pero hoy la información de clientes vive repartida en decenas de servicios: plataforma de correo, herramienta de automatización, CRM, analítica, atención al cliente. Cada uno tiene usuarios, contraseñas y permisos que alguien debe administrar. En muchas pymes nadie sabe con exactitud quién tiene acceso a qué.
La extorsión se vuelve pública
El mensaje no buscaba solo a la empresa: buscaba presión pública. Al enviarlo a los clientes, los atacantes forzaron una respuesta inmediata y mediática. Es una táctica que probablemente veremos repetirse.
La respuesta también comunica
Asos reaccionó con un aviso dentro de la app pidiendo ignorar la alerta y no tocar el enlace. Es lo mínimo. La rapidez y claridad del mensaje oficial después de un incidente es tan importante como la reparación técnica.
Qué hacer ahora
- Haz un inventario de tus herramientas conectadas a datos de clientes (correo, push, CRM, analítica) y de quién tiene acceso a cada una.
- Activa la verificación en dos pasos en todas ellas, sobre todo en las cuentas de administrador.
- Capacita a tu equipo contra la suplantación. Ninguna solicitud de credenciales por correo, chat o teléfono debe atenderse sin verificar por otro canal.
- Limita quién puede enviar notificaciones masivas y exige doble aprobación para campañas push o de correo.
- Ten preparado un plan de comunicación de crisis: un mensaje para clientes, un responsable y un canal oficial definido antes de que algo pase.