A ASOS está a investigar atividade não autorizada em plataformas de terceiros utilizadas para comunicar com clientes, depois de utilizadores da aplicação terem recebido notificações que aparentavam ter sido enviadas pelos próprios atacantes.

A mensagem, com o título “ASOS HACKED”, afirmava que uma instância da Snowflake tinha sido comprometida e ameaçava divulgar informação caso a empresa não entrasse em contacto com os responsáveis. A notificação incluía ainda uma hiperligação.

Nomes e contactos podem ter sido acedidos

A ASOS reconheceu que informação pessoal básica, incluindo nome e contactos de clientes, pode ter sido acedida. A retalhista afirma, contudo, não acreditar que informação de cartões de pagamento ou palavras-passe de contas tenha sido afetada.

Após detetar a atividade não autorizada, a empresa restringiu o acesso às plataformas de notificações e iniciou uma investigação com equipas internas, especialistas externos e autoridades competentes.

Snowflake diz não ter sido comprometida

A mensagem enviada aos clientes fazia referência à Snowflake, plataforma cloud utilizada para armazenamento, partilha e análise de dados. A empresa tecnológica afirmou ter iniciado uma investigação assim que teve conhecimento do incidente, mas disse não ter encontrado evidências de comprometimento da própria plataforma Snowflake.

Isto significa que, até ao momento, não está estabelecido que o incidente resulte de uma falha na infraestrutura da Snowflake; a investigação centra-se nas plataformas de terceiros utilizadas pela ASOS e nos acessos associados.

Autoridades britânicas oferecem apoio

O National Cyber Security Centre (NCSC) do Reino Unido disponibilizou apoio à ASOS durante a investigação. A entidade recomenda que os utilizadores não carreguem em ligações incluídas em mensagens suspeitas nem respondam diretamente a comunicações que possam ter origem maliciosa.

O caso ganha relevância particular porque os atacantes terão conseguido utilizar um canal oficial de comunicação da retalhista para chegar diretamente aos clientes, aumentando a credibilidade aparente das mensagens.

Incidente expõe risco das plataformas de terceiros

O episódio evidencia também um risco crescente para o retalho digital: a segurança da relação com o consumidor depende não apenas dos sistemas próprios das marcas, mas também das múltiplas plataformas externas utilizadas para dados, marketing, notificações e atendimento.

No caso da ASOS, a empresa confirmou que a atividade não autorizada envolveu plataformas de terceiros utilizadas para comunicar com clientes, embora não tenha identificado publicamente todos os sistemas envolvidos.

Para os retalhistas, incidentes deste tipo acrescentam uma dimensão reputacional ao risco tecnológico, uma vez que a própria interface de confiança entre a marca e o cliente pode ser utilizada para tentativas de extorsão, fraude ou phishing.