El hackeo de ASOS expone datos privados y búsquedas de sus clientes

El ciberataque contra ASOS ha resultado más serio de lo que la compañía comunicó en un primer momento. Los atacantes obtuvieron nombres, direcciones postales, números de teléfono, correos electrónicos, identificadores de cliente y, en algunos casos, fechas de nacimiento. También accedieron a información vinculada al comportamiento dentro de la tienda, incluidas búsquedas realizadas por los usuarios. El alcance exacto sigue bajo investigación y ASOS no ha precisado cuántas personas están afectadas.

La buena noticia, dentro de un incidente que tiene poco de bueno, es importante: ASOS sostiene que no se han visto comprometidas las contraseñas ni los datos de las tarjetas de pago. La web y la aplicación continúan funcionando y la empresa asegura que permanecen seguras. El problema está en otro lugar. Con una dirección, un teléfono, un correo y datos sobre los hábitos de compra, un delincuente dispone de material suficiente para construir un engaño bastante más creíble que el habitual correo chapucero del supuesto príncipe millonario.

El ataque a ASOS fue más allá de unos simples datos de contacto

Cuando el incidente salió a la luz, la primera explicación hablaba de información personal básica, principalmente nombres y datos de contacto. Después apareció una fotografía bastante más incómoda. Los registros obtenidos incluyen direcciones, teléfonos, correos electrónicos, números de cliente y fechas de nacimiento, además de datos asociados al historial de determinadas cuentas.

Entre esa información aparecen incluso las búsquedas efectuadas en ASOS. El detalle puede parecer menor —qué camisa buscó alguien o qué línea de ropa consultó—, pero suma contexto a cada perfil. Los datos aislados son pequeñas piezas; juntos forman un retrato. La información conocida apunta también a registros relacionados con la antigüedad de algunas cuentas y con la actividad desarrollada por sus propietarios dentro de la plataforma.

ASOS cuenta con alrededor de 17 millones de clientes activos repartidos por numerosos mercados. Eso no significa que todos ellos hayan sido víctimas del robo. La compañía no ha proporcionado una cifra definitiva de afectados y conviene no confundir el tamaño de su base de clientes con el número de registros realmente comprometidos.

Una notificación enviada desde la aplicación encendió las alarmas

El episodio se hizo especialmente visible cuando usuarios de la aplicación recibieron una alerta con el mensaje “ASOS HACKED”. No era una comunicación ordinaria de la empresa: los atacantes habían conseguido utilizar uno de los canales empleados para enviar notificaciones y lo aprovecharon para presumir del acceso conseguido y amenazar con difundir información.

Aquello convirtió una intrusión informática en algo mucho más tangible. El ataque dejó de estar escondido entre registros técnicos y servidores para aparecer directamente en la pantalla del móvil de los compradores. Los responsables del ataque afirmaron haber conseguido acceso a sistemas relacionados con plataformas utilizadas por ASOS para gestionar datos y comunicaciones con clientes.

Cómo consiguieron entrar los atacantes en los sistemas de ASOS

Según la explicación ofrecida por la empresa, el origen del incidente estuvo en un ataque de ingeniería social. Un atacante se hizo pasar por un contacto de confianza y consiguió las credenciales de acceso de un empleado. Esas claves fueron utilizadas después para entrar en determinadas plataformas externas empleadas por ASOS en su relación con los clientes.

No hizo falta, por tanto, una espectacular secuencia de código verde recorriendo una pantalla negra, esa estética que el cine todavía se resiste a jubilar. Bastó con engañar a una persona y obtener un acceso válido. Es uno de los métodos más utilizados en los ataques contra empresas: si la puerta digital tiene una cerradura excelente pero alguien entrega la llave, la sofisticación del cerrojo sirve de bastante poco.

ASOS sostiene que, tras detectar el problema, bloqueó las plataformas afectadas para impedir nuevos accesos y comenzó a trabajar con especialistas externos, fuerzas de seguridad y organismos reguladores. La compañía afirma que tanto su página web como su aplicación pudieron seguir utilizándose con normalidad durante el incidente.

Snowflake y Simon AI aparecen en el relato del ciberataque

Los atacantes aseguraron que habían accedido a información mediante servicios vinculados a Simon AI y Snowflake. Esa afirmación procede de quienes reivindicaron el ataque y no equivale, por sí sola, a demostrar que la infraestructura tecnológica de Snowflake hubiera sido vulnerada.

Snowflake ha señalado que no encontró pruebas de una brecha en su propia plataforma. La distinción es relevante. Que unas credenciales robadas permitan entrar en un servicio construido o alojado sobre determinada tecnología no significa necesariamente que los atacantes hayan roto la seguridad de esa tecnología. Puede ser, simplemente, que hayan entrado por la puerta con una llave legítima obtenida mediante engaño.

La investigación deberá determinar con precisión qué sistemas fueron utilizados, durante cuánto tiempo permanecieron accesibles y qué volumen de información pudo ser consultado o extraído antes de que ASOS cortara el acceso.

El principal riesgo para los clientes está en las estafas

El robo de contraseñas o números completos de tarjetas suele ocupar los titulares porque permite imaginar un perjuicio inmediato. Aquí el riesgo es diferente, aunque no por ello inocuo. Una combinación de nombre, dirección, teléfono, correo electrónico, fecha de nacimiento y relación previa con ASOS puede utilizarse para construir mensajes fraudulentos extremadamente convincentes.

Un delincuente podría contactar con una persona utilizando datos reales de su cuenta, mencionar el ataque y presentarse como miembro del servicio de atención al cliente. Ese mensaje tendría bastante más apariencia de legitimidad que un intento de phishing genérico. La información robada sirve precisamente para vestir el engaño con detalles ciertos.

ASOS ha pedido precaución ante llamadas, correos o mensajes inesperados que aseguren proceder de la compañía. La empresa recuerda que nunca debería solicitar por esos canales contraseñas, códigos de seguridad o datos de pago mediante una comunicación no solicitada.

Hay un detalle particularmente útil para detectar la trampa: ASOS sostiene que las contraseñas no fueron robadas. Un mensaje que utilice esta brecha como excusa para pedir la clave de acceso debería levantar inmediatamente la ceja. Las dos, incluso.

ASOS todavía no ha revelado cuántos clientes están afectados

Uno de los principales interrogantes permanece abierto. La compañía no ha detallado públicamente el número total de cuentas afectadas cuyos datos terminaron al alcance de los atacantes. Las informaciones conocidas apuntan a un incidente de una dimensión relevante, pero ASOS no ha confirmado una cifra global que permita medir con exactitud su alcance.

Esa diferencia importa. Que un mensaje fraudulento o una notificación pudiera llegar a una enorme cantidad de teléfonos no implica automáticamente que todas esas personas formen parte de la base de datos extraída. Son dos cuestiones distintas. Hasta que concluya el análisis técnico, mezclar ambas cifras convertiría una posibilidad en un dato que todavía no existe.

La empresa ha indicado que contactará directamente con aquellos clientes para los que considere necesario proporcionar información adicional, asistencia o alguna actuación concreta. Mientras tanto continúa trabajando con especialistas en ciberseguridad y autoridades competentes para reconstruir lo sucedido.

Por qué unos datos aparentemente inocentes pueden valer tanto

El caso ASOS deja una imagen bastante nítida de la ciberseguridad moderna. No hace falta robar una tarjeta bancaria para causar un problema considerable. Los datos cotidianos también tienen valor: dónde vive una persona, cuál es su teléfono, cuándo nació, desde qué año utiliza una tienda o qué productos suele buscar.

Separados parecen inofensivos. Combinados permiten que alguien conozca suficiente información de una víctima como para ganarse unos segundos de confianza. Y, en internet, esos segundos pueden bastar para abrir un enlace fraudulento, facilitar un código o responder a una llamada que parecía perfectamente legítima.

El incidente también recuerda una realidad incómoda para las grandes plataformas de comercio electrónico. Cuantos más datos se conservan para personalizar ofertas, estudiar el comportamiento del comprador o mejorar la experiencia de usuario, mayor resulta el valor potencial de una cuenta comprometida. La información que ayuda a vender una prenda puede ayudar también a fabricar una estafa mucho más creíble.

La brecha deja a ASOS ante una investigación todavía abierta

Por el momento, ASOS mantiene operativas su web y su aplicación, sostiene que las claves y la información de pago no han quedado expuestas y continúa investigando hasta dónde llegó el acceso. Es una diferencia importante para quienes temen un cargo inmediato en sus cuentas, pero no elimina los riesgos derivados del robo de datos personales.

Lo que sí ha cambiado desde las primeras comunicaciones es la dimensión conocida de la información comprometida. Ya no se habla únicamente de unos datos básicos de contacto, sino de perfiles más detallados de clientes, con información capaz de proporcionar contexto a futuros intentos de fraude.

Ahí está la verdadera gravedad del incidente. Una contraseña puede cambiarse y una tarjeta puede cancelarse; una dirección, un teléfono, una fecha de nacimiento o determinados hábitos son mucho menos sencillos de borrar de la vida cotidiana. Para los clientes de ASOS, esa es la parte del hackeo que merece más atención.