ASOS atribuye su brecha a un engaño a un empleado
La tienda dice que un atacante suplantó a un contacto de confianza para obtener credenciales; sigue sin decir cuántos clientes quedaron afectados.
ASOS, el minorista británico de moda en línea, explicó cómo ocurrió su brecha de datos. En su actualización en la Bolsa de Londres, la empresa dice que un tercero se hizo pasar por "un contacto de confianza" para obtener credenciales de un empleado y, con ellas, entró a información alojada en plataformas externas que la tienda usa. El texto lo recoge BleepingComputer; esta redacción no pudo abrir el comunicado completo.
Según ASOS, los datos accedidos son nombres completos, datos de contacto y cierta información de cuenta que no considera personal. La empresa afirma que no se tocaron tarjetas de pago ni contraseñas. TechCrunch, que cita a la BBC, suma a la lista domicilios, teléfonos, correos y notas de perfil, por ejemplo búsquedas en el sitio, en su cobertura.
ASOS no ha dicho cuántos clientes ni de qué países están afectados. Para un cliente en México, lo concreto es que nombre y contacto bastan para un phishing, un fraude por mensaje que imita a una empresa, que cite el incidente. ASOS pide, según BleepingComputer, desconfiar de mensajes o llamadas inesperados, y dice que nunca solicitará contraseñas, códigos de seguridad ni datos de pago por esa vía.
El 6 de octubre la app mostró una alerta falsa, como contó este medio. Dirigida al responsable de protección de datos y a TI, decía que los datos de la empresa en Snowflake, un servicio de datos en la nube, estaban "totalmente comprometidos" y exigía: "Contáctennos o lo filtraremos". Snowflake dijo a TechCrunch que sus propios sistemas no fueron vulnerados.
Quien firmó la alerta, un grupo llamado Xuanye Group, asegura que se llevó datos de clientes y que no tocó los de pago. ASOS no ha confirmado su identidad ni lo que dice.
Falta saber si la cuenta del empleado exigía un segundo factor de autenticación. TechCrunch dice que se desconoce también cómo alcanzaron los atacantes el sistema que envía las notificaciones de la app. ASOS dice que investiga con expertos externos, la policía y los reguladores, sin dar fechas.
