ASOS confirma violación de datos después de que piratas informáticos secuestren la aplicación para enviar una alerta "ASOS HACKEADO"

ASOS, el minorista de moda en línea cotizado en Londres, ha confirmado un incidente de ciberseguridad en el que los atacantes ganaron acceso a una plataforma de terceros conectada a su aplicación móvil y obtuvieron información personal de clientes. La empresa dice que no cree que los datos de tarjetas de pago o las contraseñas de cuenta hayan sido comprometidas.

Cómo comenzó la violación

Alrededor de las 10:00 BST (05:00 ET) del 6 de octubre de 2026, los usuarios de la aplicación ASOS comenzaron a recibir una notificación push no autorizada con el titular "ASOS HACKEADO", según BleepingComputer y Help Net Security. ASOS rápidamente publicó un aviso dentro de la aplicación indicando a los clientes que ignoraran la alerta y que no hicieran clic en ningún enlace.

ASOS dijo que la intrusión comenzó cuando un atacante se hizo pasar por un contacto de confianza para engañar a un empleado y hacerle entregar credenciales de inicio de sesión, según Infosecurity Magazine y TechCrunch. Esas credenciales se utilizaron luego para acceder a plataformas de terceros de las que ASOS depende para comunicarse con los clientes, incluido el sistema utilizado para enviar notificaciones push de la aplicación.

Según Infosecurity Magazine, el investigador de malware Pieter Arntz sugirió que Simon AI, una plataforma de marketing utilizada por ASOS y construida sobre Cortex AI de Snowflake, puede estar indirectamente vinculada al incidente, aunque esto no ha sido confirmado como la forma en que los atacantes ganaron acceso. Snowflake dijo que el problema no resultó de ninguna vulnerabilidad o mala configuración en su propia plataforma y que sus otros clientes no necesitaban tomar ninguna medida, reportó Infosecurity Magazine.

Qué datos fueron expuestos

En sus primeras declaraciones, ASOS dijo que la información expuesta se limitaba a detalles de contacto básicos. Según SecurityWeek, ASOS confirmó la violación en una declaración presentada a la Bolsa de Valores de Londres el 7 de octubre de 2026.

Los piratas informáticos luego proporcionaron a los reporteros una muestra de los datos que afirman tener. Según Infosecurity Magazine y Malwarebytes, esa muestra incluía nombres de clientes, direcciones de hogar, números de teléfono, direcciones de correo electrónico, números de cuenta de cliente, fechas de nacimiento, fechas de creación de cuenta y registros de búsquedas que los clientes habían realizado en el sitio web de ASOS, con ejemplos como "reclaimed vintage" y "ASOS petite".

Quién está detrás del ataque

Un grupo que se identifica como Xuanye Group se adjudicó la responsabilidad, operando desde un canal de Telegram recién creado, según SecurityWeek y TechCrunch. En un mensaje dirigido al oficial de protección de datos y al equipo de TI de ASOS, el grupo afirmó haber comprometido la instancia de Snowflake de la empresa y advirtió: "Comprométase con nosotros, o lo filtraremos", según SecurityWeek y TechCrunch.

Infosecurity Magazine reportó que los investigadores rastrearon la cuenta de Telegram vinculada al grupo, que había utilizado previamente nombres que incluyen "JohnCZ" y "Moon Transfers" en conexión con el comercio de artículos de juegos en línea, aunque esta actividad anterior no ha sido formalmente vinculada a la intrusión de ASOS.

Escala y lo que permanece desconocido

ASOS tiene aproximadamente 17 millones de clientes, reportó TechCrunch, pero la empresa no ha divulgado cuántas cuentas individuales se vieron afectadas por la violación. ASOS dijo que restringió el acceso a las plataformas de notificación afectadas y está trabajando con especialistas en seguridad internos y externos, según SecurityWeek.

El incidente ha llamado la atención sobre los riesgos del software de terceros orientado al cliente utilizado por minoristas para enviar mensajes de marketing y aplicaciones, ya que tales sistemas pueden llevar un acceso amplio a los registros de clientes mientras se encuentran fuera de la infraestructura principal de una empresa.

Consejos para clientes

• Según Malwarebytes, los clientes deben tratar con cautela los correos electrónicos inesperados, textos o mensajes de aplicación que hagan referencia a la violación, y no deben hacer clic en los enlaces.
• Malwarebytes recomendó acceder a ASOS solo a través de la aplicación oficial o el sitio web en lugar de a través de enlaces enviados en mensajes.
• Malwarebytes recomendó nunca compartir una contraseña o un código de seguridad de un solo uso con nadie que se comunique con usted.
• Malwarebytes recomendó estar atento a los intentos de phishing que utilizan detalles filtrados como su nombre o dirección para parecer convincentes.