Milhares de clientes da ASOS, varejista de moda global, receberam uma notificação push no aplicativo da ASOS nesta manhã, alegando que a empresa foi hackeada.
A notificação, dirigida ao responsável pela proteção de dados e à equipe de TI da ASOS, diz:
“ASOS HACKEADA
Prezados DPO e equipe de TI da Asos, comprometemos totalmente a instância do Snowflake. Entrem em contato conosco ou divulgaremos os dados.
O que sabemos até agora
O Snowflake é uma plataforma de dados em nuvem que as organizações usam para armazenar, processar e analisar dados. Sabemos que a equipe de marketing da ASOS usa o Simon AI, conforme uma publicação no blog do próprio Simon . O Simon AI é especializado em personalização e funciona no Snowflake. A ASOS descreveu o uso do Simon AI em conjunto com o Braze para personalizar e acionar comunicações com os clientes, como notificações push para os celulares deles.
O fato de a mensagem aparentemente ter sido enviada pelo próprio aplicativo da ASOS torna isso mais preocupante do que uma alegação sem comprovação em uma rede social. Isso sugere o uso não autorizado da infraestrutura de notificações, mas não confirma que a alegada violação de segurança do Snowflake tenha ocorrido ou que dados de clientes tenham sido roubados.
Segundo a Simon AI, os perfis típicos de clientes incluem:
- Histórico de navegação e produtos visualizados
- Histórico de compras e valor do cliente (compradores iniciantes ou de alto valor)
- dados demográficos
- segmentos como o status Premier ou clientes que pararam de comprar
- geolocalização e clima local
Se os sistemas afetados contiverem esses perfis, uma violação de segurança poderia expor um panorama detalhado dos hábitos e preferências de compra dos clientes. No entanto, a descrição publicada da configuração de marketing da ASOS não esclarece o que, se é que algo, os invasores acessaram.
O jornal The Guardian relata que o grupo que alega ter sofrido a violação de dados se autodenomina "Grupo Xuanye". O canal do Telegram operado pelo grupo publicou a mensagem "Em relação à Asos, as informações de pagamento não foram afetadas" e que o "aplicativo é seguro para uso", mas essas alegações não foram verificadas de forma independente.
A Sky News informou que a ASOS confirmou o envio de uma "notificação de cliente não autorizado" por volta das 10h da manhã de hoje.
“Estamos investigando atividades não autorizadas envolvendo plataformas de terceiros que utilizamos para nos comunicar com os clientes”, afirmou a empresa em comunicado.
A empresa varejista afirmou que restringiu imediatamente o acesso às plataformas de notificação e está trabalhando com especialistas e autoridades competentes.
Acrescentou ainda:
“ Basic Informações pessoais, incluindo nome e dados de contato, podem ter sido acessadas. Não acreditamos que informações de cartão de pagamento ou senhas de contas tenham sido afetadas.
Como se manter seguro
O site e o aplicativo continuam operacionais e, até o momento, não há evidências verificadas de que bancos de dados de clientes, informações de cartões de pagamento, senhas etc. tenham sido roubados.
Portanto, ainda é cedo para dizer se e em que medida os atacantes conseguiram obter dados de clientes da ASOS, mas o potencial de acesso é significativo. Os dados dos clientes poderiam ser usados em ataques de phishing direcionados para aumentar a credibilidade.
- Por enquanto, adie suas compras na ASOS até que fique claro o que aconteceu e se a ASOS resolveu o problema.
- Tenha cuidado com mensagens não solicitadas sobre a violação de dados ou outros problemas relacionados à ASOS.
- Se não desejar receber mais notificações push do grupo Xuanye, remova o aplicativo ASOS até que o acesso deles seja revogado.
- Caso seus dados tenham sido roubados nessa violação, leia as dicas em nosso blog : Envolvido em uma violação de dados? Veja o que você precisa saber .
O que os cibercriminosos sabem sobre você?
Use a verificação gratuita Digital Footprint Malwarebytes para verificar se suas informações pessoais foram expostas online.
