Aplicativo de loja de moda é alvo de invasão e utilizado para ameaçar clientes

Clientes da ASOS receberam notificação alarmante sobre possível invasão de dados.

Na terça-feira (6), usuários do aplicativo da ASOS foram surpreendidos com uma mensagem alarmante com o título “ASOS HACKED”. A notificação, enviada diretamente pelo aplicativo da varejista britânica, alertava sobre um possível vazamento de dados.

A mensagem, que parecia ser originada de invasores que acessaram a infraestrutura tecnológica da ASOS, foi endereçada ao responsável pela proteção de dados e à equipe de TI da empresa. Os criminosos afirmaram ter comprometido uma “instância Snowflake” e exigiram contato imediato, sob a ameaça de divulgação das informações.

O conteúdo da mensagem, que se dirigia especificamente ao DPO e à equipe de TI da ASOS, incluía uma advertência clara: “Caros DPO e equipe de TI da ASOS, comprometemos totalmente a instância Snowflake. Entrem em contato conosco ou vamos vazá-la”. Relatos nas redes sociais indicaram que a notificação não foi um incidente isolado, com dezenas de clientes relatando ter recebido a mesma mensagem.

Hackers conseguiram controlar o sistema de notificações

Um aspecto notável deste incidente é a forma como a suposta invasão foi divulgada. Em vez de utilizar canais tradicionais, os invasores aparentemente conseguiram enviar a mensagem através de um canal oficial da ASOS, impactando diretamente os consumidores.

Relatos indicam que os primeiros avisos começaram a surgir na manhã de terça-feira, com a situação sendo descrita como um controle não autorizado sobre os sistemas de TI da varejista. A mensagem mencionava a Snowflake, uma plataforma de dados em nuvem, mas não havia confirmação de que a ASOS fosse um parceiro da plataforma no momento da notificação.

Embora a capacidade de enviar uma notificação pelo aplicativo sugira algum nível de acesso aos sistemas da ASOS, isso não confirma que os criminosos tenham conseguido acessar ou copiar a totalidade dos dados mencionados na ameaça.

ASOS confirma atividade não autorizada

Durante o dia, a ASOS emitiu um comunicado confirmando que uma notificação não autorizada foi enviada aos clientes através de seu aplicativo. A empresa está investigando a atividade não autorizada relacionada a plataformas de terceiros utilizadas para comunicação com os consumidores.

A ASOS informou que medidas imediatas foram tomadas para restringir o acesso às plataformas de notificação e que está colaborando com especialistas internos e externos, além das autoridades competentes. O site e o aplicativo continuam operando normalmente, segundo a empresa.

Além disso, a companhia indicou que informações pessoais básicas dos clientes podem ter sido acessadas durante o incidente, mas não acredita que dados de cartões de pagamento ou senhas de contas tenham sido comprometidos.

Apesar de a situação ser mais grave do que inicialmente parecia, ainda não há confirmação pública de que a alegação sobre o comprometimento da “instância Snowflake” seja verdadeira na extensão reivindicada pelos invasores.

Mensagem chegou a clientes de forma inesperada

A estratégia utilizada pelos invasores chamou a atenção, uma vez que transformou os consumidores em parte de uma possível negociação entre criminosos e a empresa.

A mensagem, embora não endereçada diretamente aos clientes, apareceu nas telas dos usuários do aplicativo, mencionando o DPO e a equipe de TI. Incluía também um link para o Telegram, que parece ser o canal utilizado pelos invasores para estabelecer contato.

O caso rapidamente ganhou repercussão nas redes sociais, onde clientes compartilharam capturas de tela da notificação e questionaram a veracidade da invasão. Especialistas em segurança destacaram que o envio da mensagem pelo aplicativo é um indicativo de que os responsáveis obtiveram algum tipo de acesso aos sistemas da varejista, embora a extensão desse acesso ainda seja incerta.

O que ainda não se sabe

Até o momento, não está claro publicamente quais sistemas foram comprometidos, quantos clientes foram afetados ou quais dados podem ter sido acessados.

A alegação de que a Snowflake foi “totalmente compromet