Asos confirma una filtración de datos de clientes tras una notificación fraudulenta en su aplicación

La minorista británica de moda Asos confirmó una filtración de información personal de clientes después de que unos piratas informáticos usaran la aplicación de la empresa para enviar a los usuarios una notificación no autorizada.

En una comunicación a la London Stock Exchange, Asos dijo que los atacantes accedieron a una plataforma de terceros que aloja datos utilizados por la empresa para comunicarse con sus clientes. La compañía afirmó que se sustrajeron nombres e información de contacto. BBC News informó de que los datos robados también incluyen domicilios, números de teléfono, direcciones de correo electrónico y notas de perfiles de clientes, como sus búsquedas en el sitio web.

La notificación se dirigía al responsable de protección de datos y al departamento de TI de Asos, y afirmaba que los datos de la empresa alojados en Snowflake habían sido “comprometidos por completo”. Amenazaba con filtrarlos si Asos no se ponía en contacto con los atacantes. El grupo, que utiliza el nombre Xuanye Group, no ha dicho cuántos datos afirma tener.

Bleeping Computer informó de que los atacantes accedieron a la instancia de Snowflake haciéndose pasar por un contacto de confianza para obtener credenciales de inicio de sesión. Snowflake dijo que sus sistemas no habían sufrido una brecha. No está claro si la instancia de Snowflake de Asos utilizaba autenticación multifactor ni cómo accedieron los atacantes al sistema de notificaciones en la aplicación.

Según el sitio web de Asos, la empresa tiene 17 millones de clientes. La fuente también menciona una brecha anterior y distinta en la fintech Betterment, en la que los atacantes usaron el acceso a una plataforma de marketing de terceros para suplantar a la empresa y enviar a sus clientes una estafa relacionada con criptomonedas.