ASOS confirma violação de dados após hackers sequestrem aplicativo para enviar alerta "ASOS HACKED"

ASOS, o varejista de moda on-line listado em Londres, confirmou um incidente de cibersegurança em que os atacantes ganharam acesso a uma plataforma de terceiros conectada ao seu aplicativo móvel e obtiveram informações pessoais de clientes. A empresa diz que não acredita que os dados de cartão de pagamento ou as senhas da conta foram comprometidas.

Como a violação começou

Por volta das 10:00 BST (05:00 ET) em 6 de outubro de 2026, os usuários do aplicativo ASOS começaram a receber uma notificação push não autorizada com o título "ASOS HACKED", de acordo com BleepingComputer e Help Net Security. ASOS rapidamente postou um aviso no aplicativo informando aos clientes para descartar o alerta e não clicar em nenhum link.

ASOS disse que a intrusão começou quando um atacante se fez passar por um contato confiável para enganar um funcionário e fazê-lo entregar credenciais de login, de acordo com Infosecurity Magazine e TechCrunch. Essas credenciais foram então usadas para acessar plataformas de terceiros das quais ASOS depende para se comunicar com clientes, incluindo o sistema usado para enviar notificações push do aplicativo.

De acordo com Infosecurity Magazine, o pesquisador de malware Pieter Arntz sugeriu que Simon AI, uma plataforma de marketing usada por ASOS e construída no Cortex AI do Snowflake, pode estar indiretamente vinculada ao incidente, embora isso não tenha sido confirmado como a forma como os atacantes ganharam acesso. Snowflake afirmou que o problema não resultou de nenhuma vulnerabilidade ou configuração incorreta em sua própria plataforma e que seus outros clientes não precisavam tomar nenhuma ação, informou Infosecurity Magazine.

Quais dados foram expostos

Em suas primeiras declarações, ASOS disse que as informações expostas se limitavam a detalhes básicos de contato. De acordo com SecurityWeek, ASOS confirmou a violação em uma declaração arquivada na Bolsa de Valores de Londres em 7 de outubro de 2026.

Os hackers posteriormente forneceram uma amostra dos dados que afirmam ter aos repórteres. De acordo com Infosecurity Magazine e Malwarebytes, essa amostra incluía nomes de clientes, endereços residenciais, números de telefone, endereços de e-mail, números de conta de cliente, datas de nascimento, datas de criação de conta e registros de buscas que os clientes fizeram no site da ASOS, com exemplos como "reclaimed vintage" e "ASOS petite".

Quem está por trás do ataque

Um grupo que se identifica como Xuanye Group reivindicou responsabilidade, operando a partir de um canal Telegram recém-criado, de acordo com SecurityWeek e TechCrunch. Em uma mensagem dirigida ao oficial de proteção de dados e ao time de TI da ASOS, o grupo afirmou ter comprometido a instância Snowflake da empresa e avisou: "Negocie conosco, ou vamos vazar", de acordo com SecurityWeek e TechCrunch.

Infosecurity Magazine informou que pesquisadores rastrearam a conta Telegram vinculada ao grupo, que havia usado anteriormente nomes incluindo "JohnCZ" e "Moon Transfers" em conexão com negociação de itens de jogos on-line, embora essa atividade anterior não tenha sido formalmente vinculada à invasão do ASOS.

Escala e o que permanece desconhecido

ASOS tem aproximadamente 17 milhões de clientes, informou TechCrunch, mas a empresa não divulgou quantas contas individuais foram afetadas pela violação. ASOS disse que restringiu o acesso às plataformas de notificação afetadas e está trabalhando com especialistas em segurança internos e externos, de acordo com SecurityWeek.

O incidente chamou atenção para os riscos do software de terceiros voltado para o cliente usado por varejistas para enviar mensagens de marketing e aplicativos, uma vez que tais sistemas podem ter amplo acesso aos registros de clientes enquanto ficam fora da infraestrutura principal de uma empresa.

Conselho para clientes

• De acordo com Malwarebytes, os clientes devem tratar com cautela e-mails inesperados, mensagens de texto ou de aplicativo que façam referência à violação, e não devem clicar em links.
• Malwarebytes recomendou acessar ASOS apenas através do aplicativo oficial ou site, em vez de através de links enviados em mensagens.
• Malwarebytes recomendou nunca compartilhar uma senha ou código de segurança de uso único com ninguém que o contate.
• Malwarebytes recomendou ficar atento a tentativas de phishing que usam detalhes vazados, como seu nome ou endereço, para parecer convincentes.