Asos confirma vazamento depois que hackers sequestraram os alertas do app

A varejista de moda Asos confirmou um vazamento de dados depois que atacantes usaram o próprio app da empresa para enviar aos clientes uma notificação push «ASOS HACKED» em 6 de outubro de 2026. Em um comunicado à bolsa, a Asos disse que hackers invadiram uma plataforma de terceiros que ela usa para contatar clientes, segundo o TechCrunch. Nomes e dados de contato podem ter sido roubados. O caso mostra como um único serviço externo fraco pode dar aos atacantes uma linha direta com o celular de cada cliente.

O que a Asos confirmou

A Asos disse aos investidores que «está investigando atividade não autorizada envolvendo plataformas de terceiros que usamos para nos comunicar com os clientes», informa o Help Net Security. A notificação não autorizada saiu por volta das 10h de 6 de outubro.

A declaração da empresa, como relatada por The Register e SecurityWeek, diz que:

• informações pessoais básicas, incluindo nomes e dados de contato, podem ter sido acessadas
• ela não acredita que dados de cartões de pagamento ou senhas de contas tenham sido afetados
• o site e o app estão funcionando normalmente
• o acesso às plataformas de notificação foi restringido
• ela trabalha com consultores especializados e «todas as autoridades competentes»

«Não acreditamos que dados de cartões de pagamento ou senhas de contas tenham sido afetados», disse a Asos. Ela também disse que é cedo demais para dizer qual será o efeito nas vendas. O The Register acrescenta que a Asos tem seguro cibernético.

A Asos não disse quantos clientes receberam o alerta nem em quantos os dados foram acessados. Também não nomeou a plataforma de terceiros.

O que os atacantes alegaram

A própria notificação trazia uma ameaça. «Dear ASOS DPO and IT, we have fully compromised the Snowflake instance. Engage with us, or we will leak it», dizia, segundo o The Register. DPO significa encarregado de proteção de dados. Snowflake é uma plataforma de dados na nuvem que muitas empresas usam para guardar dados de clientes.

O alerta levava a um canal do Telegram mantido por um grupo até então desconhecido que se chama «Xuanye Group», informam SecurityWeek e Help Net Security. Trate isso como palavras dos atacantes. O The Register observa que a mensagem sozinha não prova que eles chegaram ao Snowflake ou a dados sensíveis.

A Snowflake nega qualquer problema de seu lado. «Neste momento, podemos informar que não encontramos nenhum comprometimento da plataforma Snowflake», disse um porta-voz da Snowflake ao The Register. A própria Asos nunca menciona a Snowflake nas reportagens.

O que a imprensa informou

Alguns detalhes vêm de jornalistas, não da Asos:

• O TechCrunch cita reportagem da BBC segundo a qual os dados roubados também incluem endereços residenciais, telefones, e-mails e anotações nos perfis de clientes, como buscas feitas no site.
• O TechCrunch cita o Bleeping Computer, que diz que os atacantes entraram «se passando por um contato de confiança para obter credenciais de login». A Asos não confirmou isso.
• O The Register diz que as ações da Asos caíram cerca de 12 por cento após as reportagens e se recuperaram um pouco. Ele não cita fonte para o número.

O SecurityWeek diz que o método de acesso inicial é desconhecido. Daniel dos Santos, da Forescout Research, disse que o padrão pode lembrar os ataques de 2024 a clientes da Snowflake, que usaram credenciais roubadas. «Este ataque recente pode ser semelhante, embora não esteja confirmado qual foi o acesso inicial», disse ele.

Por que uma notificação push importa

Uma notificação push vai direto para a tela de bloqueio com o nome da marca. Os clientes confiam nela. Por isso Natalie Page, da Talion Cyber Security, chamou a mensagem de «uma tática típica de grupos de extorsão, que muitas vezes se aproveitam da atenção da mídia e da publicidade», segundo o SecurityWeek.

Pieter Arntz, da Malwarebytes, alertou sobre o que os dados poderiam mostrar. «Qualquer exposição pode revelar um retrato detalhado do cliente, de hábitos de navegação e compra até localização e status de fidelidade», cita o Help Net Security. Alan Snyder, da NowSecure, disse que um sistema de notificações comprometido «dá acesso direto aos seus clientes no front-end e aos seus dados no back-end».

O que isso significa para desenvolvedores

Se o seu app envia mensagens push, a plataforma de envio faz parte da sua superfície de ataque.

• Proteja o sistema de notificações como a produção. Exija autenticação multifator em toda conta que possa enviar pushes e limite quem a tem. A Asos restringiu o acesso às suas plataformas depois do incidente.
• Adicione uma etapa de aprovação do envio. Uma mensagem para toda a base de usuários deveria exigir uma segunda pessoa, ou um limite de frequência, antes de sair.
• Revise toda plataforma de dados que suas ferramentas de marketing alcançam. Mapeie quais campos de clientes cada serviço externo guarda. Nomes e buscas em um repositório de marketing continuam sendo dados pessoais.
• Faça rotação e auditoria das credenciais. Tanto o caso da Snowflake quanto os ataques de 2024 no contexto do The Register apontam para logins roubados. Faça a rotação das credenciais de serviço e verifique se há pedidos de suporte falsificados.
• Prepare a mensagem aos clientes com antecedência. Decida como dirá aos usuários para ignorar um alerta falso e não seguir links. A Asos disse exatamente isso aos clientes.

O próximo ponto a observar é quantos clientes a Asos dirá que foram afetados. Até que ela publique um número, a escala da violação continua desconhecida.