ASOS
ASOS confirma fuga de dados de clientes depois de piratas enviarem notificações pela própria app
A loja de moda online admitiu que nomes e contactos de clientes ficaram expostos num ataque que começou com um funcionário enganado. Os cartões e as palavras-passe não foram afetados, segundo a empresa, mas quem tem conta deve desconfiar de mensagens e chamadas em nome da marca.
A ASOS, loja britânica de moda online, confirmou uma fuga de dados de clientes depois de os atacantes terem usado a aplicação da própria marca para anunciar o ataque. A 6 de outubro, quem tinha a app instalada recebeu uma notificação com o título "ASOS HACKED", dirigida aos responsáveis da empresa e com uma ligação para um canal no Telegram. O caso foi relatado pelo BleepingComputer, que teve acesso ao aviso de segurança que a ASOS enviou entretanto aos clientes.
O que ficou exposto
Segundo esse aviso, os dados expostos são nomes completos, contactos e alguma informação não pessoal associada às contas. A empresa garante que não houve acesso a dados de cartões de pagamento nem às palavras-passe, e que o site e a aplicação estiveram sempre seguros. Não diz quantas pessoas foram afetadas. O BleepingComputer pediu esse número e não obteve resposta.
A ASOS vende para clientes em todo o mundo e não indicou que países estão abrangidos. Se tens conta na loja, o mais prudente é assumires que o teu nome e os teus contactos podem estar entre os dados copiados.
Como entraram
A explicação da empresa aponta para engenharia social, ou seja, engano em vez de uma falha técnica. Alguém fez-se passar por um contacto de confiança de um funcionário e conseguiu as credenciais dele. Com essa conta, os atacantes chegaram a informação guardada em plataformas de terceiros que a ASOS usa, incluindo as que servem para comunicar com os clientes, o que explica a notificação na app.
O grupo, que se apresenta como "Xuanye Group", afirmou ter comprometido o ambiente Snowflake da empresa, um serviço de armazenamento de dados na nuvem. A ASOS não confirmou essa parte. Bloqueou as plataformas afetadas e abriu uma investigação com peritos externos, autoridades policiais e reguladores, que ainda decorre.
O que deves fazer
A ASOS diz que não precisas de fazer nada na tua conta. O risco real vem depois: com nomes e contactos verdadeiros na mão, é fácil montar mensagens de phishing convincentes sobre encomendas, reembolsos ou "problemas de pagamento". A própria empresa pede cautela com mensagens e chamadas inesperadas em seu nome e lembra, no aviso citado pelo BleepingComputer, que nunca pede "palavras-passe, códigos de segurança ou dados de pagamento" por essa via.
Na prática, não carregues em ligações de emails ou SMS sobre a tua conta e entra sempre pela app ou escrevendo o endereço no navegador. Se recebeste a notificação de 6 de outubro, ignora-a e não abras a ligação que trazia, como a empresa pediu num aviso dentro da aplicação. A ASOS promete novas informações se a investigação trouxer conclusões relevantes; até lá, o número de clientes afetados continua por divulgar.
