El minorista británico de moda en línea ASOS se encuentra en medio de una investigación tras una actividad no autorizada en su aplicación móvil, la cual fue utilizada por atacantes para enviar notificaciones amenazantes directamente a los clientes. Este incidente resalta la importancia de la ciberseguridad en el comercio electrónico y pone de manifiesto el creciente riesgo que enfrentan tanto las empresas como los consumidores en la era digital.
El 6 de octubre de 2026, usuarios de la aplicación de ASOS recibieron una notificación titulada “ASOS HACKED”. Las capturas de pantalla compartidas por varios destinatarios mostraron un mensaje inquietante que decía: "Estimado DPO de ASOS y equipo de IT, hemos comprometido completamente la instancia de Snowflake. Comprométanse con nosotros, o filtraremos la información". Este mensaje incluía un enlace a un canal de Telegram operado por un grupo de hackers previamente desconocido que se hace llamar Xuanye Group.
El enlace de Telegram, incluido en la notificación no autorizada, no dirigía directamente al canal principal del grupo. En su lugar, llevaba a un canal de puerta de enlace que instruía a los visitantes a seguir un segundo enlace hacia lo que Xuanye Group describía como su canal de difusión legítimo. Un análisis realizado por Hackread.com de ambos canales reveló que los operadores advertían sobre la suplantación de identidad y señalaban que el canal de puerta de enlace publicaría un enlace de reemplazo si el canal principal era eliminado.
Xuanye Group posteriormente afirmó que la información de pago de los clientes de ASOS no se había visto afectada. En una "declaración final" posterior, aseguraron que la aplicación de ASOS era segura de usar y que el incidente involucraba información de clientes almacenada en sus servidores. "El incidente involucra información de clientes; está segura en nuestro servidor y no será tocada durante un período designado", se afirmaba en el mensaje.
Aunque las publicaciones en Telegram respaldan la reclamación del grupo de que se había tomado información de clientes, no proporcionan pruebas sobre el tipo, volumen o autenticidad de los datos. Xuanye Group no ha publicado una muestra de la supuesta información, y ASOS solo ha indicado que podrían haberse accedido nombres y datos de contacto.
ASOS reconoció posteriormente que se había enviado una notificación push no autorizada y pidió a los clientes que la ignoraran. La compañía restringió el acceso a las plataformas de notificación afectadas y comenzó a colaborar con especialistas en ciberseguridad y autoridades pertinentes. En un comunicado reportado por Reuters, ASOS indicó que estaba investigando la actividad no autorizada relacionada con plataformas de terceros utilizadas para comunicarse con los clientes. "Es posible que se haya accedido a información personal básica, incluyendo nombres y datos de contacto", dijo la empresa. "No creemos que la información de tarjetas de pago o las contraseñas de cuentas se hayan visto afectadas".
ASOS no ha revelado cuántos clientes recibieron la notificación ni cuántos registros podrían haber sido accedidos. Asimismo, no ha nombrado las plataformas de comunicación de terceros involucradas en el incidente. A pesar de la alarma generada, el sitio web y la aplicación del minorista continuaron funcionando con normalidad, sin que se informara de ninguna interrupción en los pedidos u otras operaciones comerciales.
El acceso al sistema de notificaciones push confirma que los atacantes lograron acceder al menos a un servicio relacionado con las comunicaciones de los clientes de ASOS. Sin embargo, ASOS no ha explicado si ese acceso se logró mediante credenciales comprometidas, una cuenta de terceros o algún otro fallo de seguridad. El Xuanye Group afirmó en su canal de Telegram haber accedido a la información de clientes de ASOS almacenada en una instancia de Snowflake, reiterando que la información de pago no había sido afectada y que la aplicación de ASOS seguía siendo segura de usar.
"La información del incidente involucra datos de clientes, está segura en nuestro servidor y no será tocada durante un período designado", afirmaron los atacantes. Sin embargo, estas declaraciones no han sido verificadas de forma independiente. El grupo parece ser nuevo, sin una historia establecida en foros de ciberdelincuencia o sitios de filtraciones importantes antes del incidente con ASOS.
Snowflake, la empresa detrás de la plataforma donde supuestamente se almacenaba la información comprometida, lanzó su propia investigación tras enterarse de la notificación. Un portavoz de la compañía afirmó que no había encontrado evidencia de que la plataforma de Snowflake en sí misma hubiera sido comprometida. No obstante, esta declaración no aclara si los atacantes accedieron a un entorno individual de cliente alojado en Snowflake. Incidentes anteriores que involucraron a clientes de Snowflake resultaron de atacantes que obtuvieron credenciales de cuentas individuales, no de una violación de la infraestructura central de Snowflake. En 2024, atacantes accedieron a datos pertenecientes a al menos 165 clientes de Snowflake, incluyendo a AT&T, Ticketmaster y Santander. Investigadores vincularon esos incidentes a credenciales robadas y cuentas que carecían de autenticación multifactor. Hackread.com informó previamente sobre la detención de un presunto hacker relacionado con esos ataques.
Actualmente no existe evidencia que conecte a Xuanye Group con los hackers involucrados en la campaña de 2024. El Centro Nacional de Ciberseguridad del Reino Unido está brindando asistencia a ASOS. Richard Horne, director ejecutivo del NCSC, señaló que la notificación no autorizada demuestra cómo los incidentes cibernéticos que afectan a grandes empresas también pueden impactar a individuos.
Las acciones de ASOS cayeron aproximadamente un 10% después de que el incidente se hiciera público, habiendo bajado más del 14% durante la negociación. La empresa manifestó que posee un seguro cibernético, incluyendo cobertura de continuidad del negocio, pero aún no podía calcular el efecto en el comercio.
Se recomienda a los clientes ignorar el enlace de Telegram incluido en la notificación y tratar con cautela correos electrónicos, mensajes de texto o llamadas inesperadas que hagan referencia a cuentas y pedidos de ASOS. Los nombres y datos de contacto pueden ayudar a los delincuentes a producir mensajes de phishing convincentes, incluso cuando no se ha accedido a contraseñas e información de pago. Los clientes de ASOS deben obtener actualizaciones a través del sitio web o la aplicación oficial del minorista y evitar ingresar credenciales a través de enlaces recibidos por correo electrónico, mensaje de texto o redes sociales.