ASOS investiga acceso indebido tras alerta de hacker

Usuarios de la aplicación de ASOS recibieron en la mañana de este martes (6), alrededor de las 10h en horario de Londres, una notificación push titulada "ASOS hacked". El texto, según capturas de pantalla compartidas por clientes y reproducidas por la prensa británica, estaba dirigido a la propia empresa: "Dear ASOS DPO and IT, we have fully compromised the Snowflake instance. Engage with us, or we will leak it." El mensaje dirigía a una cuenta en Telegram.

Horas después, la minorista de moda online confirmó la "actividad no autorizada". En un comunicado, ASOS dijo estar investigando "actividad no autorizada involucrando plataformas de terceros que usamos para comunicarnos con clientes" y que tomó "acción inmediata para restringir el acceso a las plataformas de notificación". La empresa afirmó que datos personales básicos, como nombres e información de contacto, "pueden haber sido accesados", pero que no cree que datos de tarjetas o contraseñas hayan sido afectados. ASOS pidió disculpas a los clientes y dijo que trabaja con asesores especializados internos y externos y con "todas las autoridades relevantes".

Lo que está confirmado y lo que es alegación

ASOS confirma el envío de la notificación no autorizada y la investigación sobre plataformas de comunicación de terceros. El grupo responsable del mensaje alega haber comprometido "totalmente" la instancia de ASOS en Snowflake, la plataforma de datos en la nube utilizada por miles de empresas, y amenaza con filtrar el contenido. Esta alegación no ha sido confirmada de forma independiente. ASOS no se había pronunciado públicamente sobre la afirmación específica de que su instancia en Snowflake fue comprometida hasta el cierre de este artículo.

Snowflake, por su parte, dijo haber iniciado una investigación tras la notificación y que "no encontró comprometimiento" de su plataforma. La distinción es importante: una cuenta de cliente en Snowflake puede ser accedida con credenciales robadas sin que la plataforma en sí haya sido invadida.

El precedente de 2024

Fue exactamente este el patrón de la campaña que afectó a clientes de Snowflake en 2024. En ese momento, Mandiant atribuyó los ataques al grupo UNC5537, que utilizó credenciales robadas por malware del tipo infostealer para acceder a cuentas sin autenticación multifactor. Alrededor de 165 organizaciones fueron notificadas como potencialmente expuestas, entre ellas AT&T, Ticketmaster y Santander. La conclusión de las investigaciones fue que Snowflake no había tenido su infraestructura violada, pero la configuración predeterminada de acceso dejaba la responsabilidad por la seguridad de las credenciales en el cliente. Después de eso, la empresa comenzó a exigir MFA por defecto en nuevas cuentas.

El caso ASOS aún no permite afirmar si el guion se repite. Lo que la notificación muestra, de manera concreta, es que los atacantes tuvieron acceso suficiente a una herramienta de comunicación con clientes para disparar un mensaje masivo por el canal oficial de la marca. Para un minorista, este canal es un activo comercial: es por donde salen promociones, avisos de entrega y, en caso de incidente, las orientaciones a los clientes.

Segundo incidente en pocos meses

No es el primer problema de seguridad de ASOS en 2026. En cartas fechadas el 21 de agosto, ASOS US Sales LLC informó a los clientes americanos que detectó, el 28 de julio, actividad inusual en cuentas, atribuida a credenciales obtenidas fuera de la empresa, en lo que especialistas clasificaron como un ataque de credential stuffing. Según un levantamiento del bufete de abogados Srourian, alrededor de 138,828 personas fueron afectadas, con exposición de nombres, direcciones, teléfonos y datos parciales de tarjeta.

Los dos episodios tienen naturaleza diferente, y no hay indicación pública de conexión entre ellos. Juntos, sin embargo, ponen a la minorista bajo el escrutinio de reguladores en dos mercados: el ICO, en el Reino Unido, donde la empresa tiene su sede, y autoridades estatales en Estados Unidos, donde se realizó la notificación de agosto. Por el GDPR del Reino Unido, incidentes con riesgo a los titulares deben ser comunicados al ICO en un plazo de 72 horas.

El punto ciego de las herramientas de compromiso

Para CISOs de minoristas y de servicios financieros, el incidente expone una categoría de proveedor que suele quedar fuera del inventario de riesgo crítico: plataformas de push, e-mail marketing y CRM, conectadas a bases de clientes y con permiso para hablar en nombre de la marca. Estas herramientas normalmente son contratadas por marketing, integradas a data warehouses como Snowflake y operadas con credenciales de servicio que rara vez pasan por el mismo ciclo de rotación de los sistemas centrales.

El daño a la reputación, en este tipo de ataque, ocurre antes de que cualquier dato filtre. Clientes en varios mercados recibieron en su celular la palabra "hacked" firmada por la marca, y la primera respuesta de la empresa llegó horas después, a través de la prensa. La próxima revisión de contratos con proveedores de compromiso debe incluir una pregunta que pocos minoristas hacían: ¿quién, además de marketing, puede presionar el botón de envío?