Miles de clientes de la cadena global de moda ASOS han recibido esta mañana una notificación push a través de la aplicación de ASOS en la que se alega que la empresa ha sido pirateada.
La notificación, dirigida al responsable de protección de datos y al departamento de TI de ASOS, dice lo siguiente:
ASOS HACKEADO
Estimados responsables de DPO e informática de Asos: Hemos comprometido completamente la instancia de Snowflake. Colaboren con nosotros o la filtraremos.
Lo que sabemos hasta ahora
Snowflake es una plataforma de datos en la nube que las organizaciones utilizan para almacenar, procesar y analizar datos. Sabemos que el equipo de marketing de ASOS utiliza Simon AI gracias a una publicación en su blog . Simon AI se especializa en personalización y funciona con Snowflake. ASOS ha descrito el uso de Simon AI junto con Braze para personalizar y enviar comunicaciones a los clientes, como notificaciones push a sus teléfonos.
El hecho de que el mensaje se haya difundido aparentemente a través de la propia aplicación de ASOS resulta más preocupante que una simple afirmación sin fundamento en redes sociales. Sugiere un uso no autorizado de la infraestructura de notificaciones, pero no confirma que se haya producido la supuesta vulneración de Snowflake ni que se hayan robado datos de clientes.
Según Simon AI, los perfiles típicos de clientes incluyen:
- historial de navegación y productos vistos
- Historial de compras y valor del cliente (compradores primerizos o de alto valor)
- datos demográficos
- segmentos como el estatus Premier o los clientes que han dejado de comprar
- geolocalización y clima local
Si los sistemas afectados contienen estos perfiles, una brecha de seguridad podría revelar información detallada sobre los hábitos y preferencias de compra de los clientes. Sin embargo, la descripción publicada de la configuración de marketing de ASOS no especifica a qué información, si es que a alguna, accedieron los atacantes.
Según The Guardian, el grupo que afirma haber producido la filtración se autodenomina "Grupo Xuanye". El canal de Telegram gestionado por el grupo publicó el mensaje "En cuanto a Asos, la información de pago no se ve afectada" y que "la aplicación es segura", pero estas afirmaciones no han sido verificadas de forma independiente.
Sky News informa que ASOS confirmó que se envió una "notificación de cliente no autorizado" alrededor de las 10 de la mañana de hoy.
“Estamos investigando actividades no autorizadas que involucran plataformas de terceros que utilizamos para comunicarnos con los clientes”, indicó la empresa en un comunicado.
La empresa minorista afirmó que restringió de inmediato el acceso a las plataformas de notificación y que está colaborando con especialistas y las autoridades pertinentes.
Añadió:
“ Basic Es posible que se haya accedido a información personal, incluyendo nombre y datos de contacto. No creemos que la información de tarjetas de pago ni las contraseñas de las cuentas se hayan visto afectadas.
Cómo mantenerse a salvo
El sitio web y la aplicación siguen operativos, y actualmente no hay pruebas verificadas de que se hayan robado bases de datos de clientes, información de tarjetas de pago, contraseñas, etc.
Por lo tanto, es demasiado pronto para saber si los atacantes podrían obtener datos de clientes de ASOS y en qué cantidad, pero el alcance potencial es significativo. Los datos de los clientes podrían usarse en ataques de phishing dirigidos para aumentar la credibilidad.
- Por el momento, pospón tus compras en ASOS hasta que se aclare qué sucedió y si ASOS ha resuelto el problema.
- Desconfía de los mensajes no solicitados sobre la filtración de datos u otros asuntos relacionados con ASOS.
- Si no deseas recibir más notificaciones push del grupo Xuanye, desinstala la aplicación ASOS hasta que se les haya revocado el acceso.
- Si resulta que sus datos fueron robados en esta filtración, lea los consejos en nuestro blog ¿Involucrado en una filtración de datos? Esto es lo que necesita saber .
¿Qué saben los ciberdelincuentes sobre ti?
Usar Malwarebytes Escaneo gratuito de la huella digital para comprobar si su información personal ha sido expuesta en línea.
