ASOS investiga acesso indevido após alerta de hacker em seu app

Usuários do aplicativo da ASOS receberam na manhã desta terça-feira (6), por volta das 10h no horário de Londres, uma notificação push intitulada "ASOS hacked". O texto, segundo capturas de tela compartilhadas por clientes e reproduzidas pela imprensa britânica, era dirigido à própria empresa: "Dear ASOS DPO and IT, we have fully compromised the Snowflake instance. Engage with us, or we will leak it." A mensagem direcionava para uma conta no Telegram.

Horas depois, a varejista de moda online confirmou a "atividade não autorizada". Em comunicado, a ASOS disse estar investigando "atividade não autorizada envolvendo plataformas de terceiros que usamos para nos comunicar com clientes" e que tomou "ação imediata para restringir o acesso às plataformas de notificação". A empresa afirmou que dados pessoais básicos, como nomes e informações de contato, "podem ter sido acessados", mas que não acredita que dados de cartão ou senhas tenham sido afetados. A ASOS pediu desculpas aos clientes e disse trabalhar com assessores especializados internos e externos e com "todas as autoridades relevantes".

O que está confirmado e o que é alegação

A ASOS confirma o envio da notificação não autorizada e a investigação sobre plataformas de comunicação de terceiros. O grupo responsável pela mensagem alega ter comprometido "totalmente" a instância da ASOS no Snowflake, a plataforma de dados em nuvem usada por milhares de empresas, e ameaça vazar o conteúdo. Essa alegação não foi comprovada de forma independente. A ASOS não havia se pronunciado publicamente sobre a afirmação específica de que sua instância no Snowflake foi comprometida até o fechamento desta matéria.

O Snowflake, por sua vez, disse ter iniciado uma investigação após a notificação e que "não encontrou comprometimento" da sua plataforma. A distinção importa: uma conta de cliente no Snowflake pode ser acessada com credenciais roubadas sem que a plataforma em si tenha sido invadida.

O precedente de 2024

Foi exatamente esse o padrão da campanha que atingiu clientes do Snowflake em 2024. Na época, a Mandiant atribuiu os ataques ao grupo UNC5537, que usou credenciais roubadas por malware do tipo infostealer para acessar contas sem autenticação multifator. Cerca de 165 organizações foram notificadas como potencialmente expostas, entre elas AT&T, Ticketmaster e o Santander. A conclusão das investigações foi que o Snowflake não teve sua infraestrutura violada, mas a configuração padrão de acesso deixava a responsabilidade pela segurança das credenciais com o cliente. Depois disso, a empresa passou a exigir MFA por padrão em novas contas.

O caso ASOS ainda não permite afirmar se o roteiro se repete. O que a notificação mostra, de forma concreta, é que os atacantes tiveram acesso suficiente a uma ferramenta de comunicação com clientes para disparar uma mensagem em massa pelo canal oficial da marca. Para um varejista, esse canal é ativo comercial: é por ele que saem promoções, avisos de entrega e, em caso de incidente, as orientações aos clientes.

Segundo incidente em poucos meses

Não é o primeiro problema de segurança da ASOS em 2026. Em cartas datadas de 21 de agosto, a ASOS US Sales LLC informou clientes americanos de que detectou, em 28 de julho, atividade incomum em contas, atribuída a credenciais obtidas fora da empresa, no que especialistas classificaram como ataque de credential stuffing. Segundo levantamento do escritório de advocacia Srourian, cerca de 138.828 pessoas foram afetadas, com exposição de nomes, endereços, telefones e dados parciais de cartão.

Os dois episódios têm natureza diferente, e não há indicação pública de ligação entre eles. Juntos, porém, colocam a varejista sob escrutínio de reguladores em dois mercados: o ICO, no Reino Unido, onde a empresa tem sede, e autoridades estaduais nos Estados Unidos, onde a notificação de agosto foi feita. Pelo GDPR do Reino Unido, incidentes com risco aos titulares precisam ser comunicados ao ICO em até 72 horas.

O ponto cego das ferramentas de engajamento

Para CISOs de varejo e de serviços financeiros, o incidente expõe uma categoria de fornecedor que costuma ficar fora do inventário de risco crítico: plataformas de push, e-mail marketing e CRM, conectadas a bases de clientes e com permissão para falar em nome da marca. Essas ferramentas normalmente são contratadas pelo marketing, integradas a data warehouses como o Snowflake e operadas com credenciais de serviço que raramente passam pelo mesmo ciclo de rotação dos sistemas centrais.

O estrago de reputação, nesse tipo de ataque, acontece antes de qualquer dado vazar. Clientes em vários mercados receberam no celular a palavra "hacked" assinada pela marca, e a primeira resposta da empresa veio horas depois, pela imprensa. A próxima revisão de contratos com fornecedores de engajamento deve incluir uma pergunta que poucos varejistas faziam: quem, além do marketing, pode apertar o botão de envio.