Asos confirma una filtración tras el secuestro de las alertas de su app por hackers

El minorista de moda Asos ha confirmado una filtración de datos después de que unos atacantes usaran su propia app para enviar a los clientes una notificación push «ASOS HACKED» el 6 de octubre de 2026. En un comunicado a la bolsa, Asos dijo que unos hackers entraron en una plataforma de terceros que usa para contactar a los clientes, informó TechCrunch. Es posible que se hayan robado nombres y datos de contacto. El caso muestra cómo un solo servicio externo débil puede dar a los atacantes una línea directa al móvil de cada cliente.

Lo que Asos ha confirmado

Asos dijo a los inversores que «investiga actividad no autorizada que involucra plataformas de terceros que usamos para comunicarnos con los clientes», informa Help Net Security. La notificación no autorizada salió hacia las 10 de la mañana del 6 de octubre.

La declaración de la empresa, según The Register y SecurityWeek, dice que:

• podrían haberse consultado datos personales básicos, incluidos nombres y datos de contacto
• no cree que se hayan visto afectados los datos de tarjetas de pago ni las contraseñas de las cuentas
• el sitio web y la app funcionan con normalidad
• se ha restringido el acceso a las plataformas de notificaciones
• trabaja con asesores especializados y «todas las autoridades pertinentes»

«No creemos que se hayan visto afectados los datos de tarjetas de pago ni las contraseñas de las cuentas», dijo Asos. También dijo que es demasiado pronto para saber qué efecto tendrá en el negocio. The Register añade que Asos tiene un seguro cibernético.

Asos no ha dicho cuántos clientes recibieron la alerta ni a cuántos se les accedió a los datos. No ha nombrado la plataforma de terceros.

Lo que afirmaron los atacantes

La propia notificación llevaba una amenaza. «Dear ASOS DPO and IT, we have fully compromised the Snowflake instance. Engage with us, or we will leak it», decía, según The Register. DPO significa delegado de protección de datos. Snowflake es una plataforma de datos en la nube que muchas empresas usan para almacenar datos de clientes.

La alerta enlazaba a un canal de Telegram de un grupo hasta ahora desconocido que se hace llamar «Xuanye Group», informan SecurityWeek y Help Net Security. Hay que tratarlas como palabras de los atacantes. The Register señala que el mensaje por sí solo no prueba que hayan llegado a Snowflake ni a datos sensibles.

Snowflake niega un problema por su parte. «En este momento, podemos informar que no hemos encontrado ninguna vulneración de la plataforma de Snowflake», dijo un portavoz de Snowflake a The Register. La propia Asos nunca menciona a Snowflake en las informaciones.

Lo que ha publicado la prensa

Algunos detalles proceden de periodistas, no de Asos:

• TechCrunch cita informaciones de la BBC según las cuales los datos robados incluyen también direcciones postales, números de teléfono, correos electrónicos y notas en los perfiles de clientes, como búsquedas en el sitio web.
• TechCrunch cita a Bleeping Computer, que dice que los atacantes entraron «haciéndose pasar por un contacto de confianza para obtener credenciales de acceso». Asos no lo ha confirmado.
• The Register dice que las acciones de Asos cayeron alrededor de un 12 por ciento tras las informaciones y se recuperaron ligeramente. No da fuente para la cifra.

SecurityWeek dice que se desconoce el método de acceso inicial. Daniel dos Santos, de Forescout Research, dijo que el patrón podría parecerse a los ataques de 2024 contra clientes de Snowflake, que usaron credenciales robadas. «Este hackeo reciente puede ser similar, aunque no está confirmado cuál fue el acceso inicial», dijo.

Por qué importa una notificación push

Una notificación push llega directa a la pantalla de bloqueo con el nombre de la marca. Los clientes confían en ella. Por eso Natalie Page, de Talion Cyber Security, calificó el mensaje de «una táctica típica de los grupos de extorsión, que a menudo aprovechan la atención mediática y la publicidad», según SecurityWeek.

Pieter Arntz, de Malwarebytes, advirtió de lo que podrían mostrar los datos. «Cualquier exposición podría revelar un retrato detallado del cliente, desde sus hábitos de navegación y compra hasta su ubicación y su estatus de fidelidad», lo cita Help Net Security. Alan Snyder, de NowSecure, dijo que un sistema de notificaciones comprometido «da acceso directo a tus clientes en el frontend y a tus datos en el backend».

Qué significa para los desarrolladores

Si tu app envía mensajes push, la plataforma de envío forma parte de tu superficie de ataque.

• Protege el sistema de notificaciones como producción. Exige autenticación multifactor en cada cuenta que pueda enviar pushes y limita quién la tiene. Asos restringió el acceso a sus plataformas tras el incidente.
• Añade un paso de aprobación del envío. Un mensaje a toda la base de usuarios debería necesitar una segunda persona, o un límite de frecuencia, antes de salir.
• Revisa cada plataforma de datos a la que puedan llegar tus herramientas de marketing. Haz un mapa de qué campos de clientes guarda cada servicio externo. Los nombres y las búsquedas en un almacén de marketing siguen siendo datos personales.
• Rota y audita las credenciales. Tanto el caso de Snowflake como los ataques de 2024 del contexto de The Register apuntan a inicios de sesión robados. Rota las credenciales de servicio y comprueba si hay solicitudes de soporte suplantadas.
• Prepara el mensaje a los clientes con antelación. Decide cómo dirás a los usuarios que ignoren una alerta falsa y no sigan enlaces. Asos dijo exactamente eso a sus clientes.

Lo siguiente que hay que vigilar es cuántos clientes dice Asos que se vieron afectados. Hasta que publique una cifra, la magnitud de la brecha seguirá siendo desconocida.