ASOS confirma acesso a dados de contato de clientes em incidente cibernético

A Asos confirmou que uma notificação não autorizada foi enviada aos clientes por volta das 10h BST de 6 de outubro. A varejista disse que estava investigando atividades envolvendo plataformas de terceiros usadas para se comunicar com os clientes e que havia restringido o acesso aos seus sistemas de notificação. O Centro Nacional de Segurança Cibernética do Reino Unido (NCSC) recomenda que todos os clientes da Asos presumam que podem ter sido afetados, mesmo que não tenham recebido o alerta. Esse é um conselho preventivo, não uma constatação de que os dados de todos os clientes foram acessados. [1] [3]

A Asos disse que nomes e dados de contato podem ter sido acessados, mas que não acreditava que informações de cartões de pagamento ou senhas de contas tivessem sido afetadas. Na ocasião de sua declaração, a Asos afirmou que seu site e aplicativo estavam funcionando normalmente. [1] [2]

A notificação alegava que um ambiente de dados Snowflake havia sido totalmente comprometido e ameaçava vazar informações. O envio da notificação, por si só, não comprova essa alegação nem demonstra que registros de clientes foram roubados. A Snowflake disse à Reuters que não havia encontrado comprometimento de sua plataforma; essa declaração não esclarece se uma conta individual da Asos foi acessada. [5] [6]

A Asos orientou os clientes a desconsiderarem a notificação e evitarem o link externo. No momento, a empresa não está pedindo que eles troquem as senhas da Asos, enquanto o NCSC recomenda que fiquem atentos a mensagens suspeitas e evitem links suspeitos, inclusive os recebidos em notificações push. [2] [3]

Atualização

A ASOS disse na quinta-feira que sua investigação constatou que uma parte não autorizada havia acessado os nomes, endereços de entrega, endereços de e-mail e números de telefone dos clientes. No início da semana, a varejista havia dito que ainda investigava se dados de clientes tinham sido roubados. [8] [9]

Em uma mensagem a clientes citada pelo The Guardian, a ASOS disse que o invasor se passou por um contato de confiança para obter as credenciais de login de uma conta de funcionário e, em seguida, usou-as para acessar informações em plataformas de terceiros usadas pela varejista. [9]

Segundo o The Guardian, pesquisas recentes feitas no aplicativo da ASOS estariam entre outras informações acessadas, conforme reportagem anterior da BBC, publicada depois que os hackers entraram em contato com a emissora. A ASOS descreveu essas informações de forma mais geral como “certain non-personal account related information”. [9]

A ASOS disse que os dados de cartões de pagamento e as senhas não haviam sido acessados. A empresa afirmou que os clientes não precisavam tomar nenhuma medida, mas alertou que deveriam desconfiar de mensagens ou ligações inesperadas que afirmassem ser da companhia. [9]