ASOS: notificación push maliciosa tras un robo de credenciales

El 6 de octubre de 2026 muchos usuarios de la app de ASOS, el minorista británico de moda en línea, recibieron una notificación push desde el canal oficial de la empresa, pero escrita por un atacante. Según ASOS, el origen no es una vulnerabilidad de software, sino un ataque de ingeniería social contra un empleado.

Qué ha pasado

La notificación iba dirigida al delegado de protección de datos (DPO) y al departamento de TI de ASOS: quien escribía afirmaba haber comprometido por completo «la instancia de Snowflake» de la empresa y amenazaba con publicar los datos si ASOS no se ponía en contacto. El mensaje enlazaba a un canal de Telegram de un grupo que se hace llamar Xuanye Group.

Ese mismo día ASOS comunicó, también a la Bolsa de Londres, que investigaba una actividad no autorizada en plataformas de terceros usadas para comunicarse con los clientes y que había restringido de inmediato el acceso a las plataformas de notificación. La acción cayó más de un 10 %.

El 8 de octubre la empresa aclaró lo ocurrido: una persona no autorizada obtuvo acceso a la cuenta de un empleado suplantando a un contacto de confianza para conseguir sus credenciales de acceso. Con esas credenciales consultó después información en algunas plataformas de terceros que usa ASOS, que ya se han bloqueado.

Datos afectados y versiones divergentes

Según la actualización enviada a los clientes, recogida por BleepingComputer, Infosecurity Magazine y The Record, se expusieron nombres completos, datos de contacto y cierta información de la cuenta de carácter no personal. ASOS descarta el acceso a los datos de las tarjetas de pago y a las contraseñas. No ha indicado cuántas personas están afectadas ni si los datos se copiaron fuera de sus sistemas; según The Record la investigación seguirá varias semanas más.

Las fuentes divergen en dos puntos:

• Snowflake. La notificación citaba Snowflake, pero ASOS nunca la ha nombrado. Snowflake declaró que no había encontrado ningún compromiso de su plataforma y que el incidente no se debe a vulnerabilidades ni a configuraciones erróneas de su servicio.
• Alcance de los datos. Según Infosecurity Magazine y The Record, el atacante dijo a la BBC que había entrado a través de una instancia de Simon AI, una plataforma de marketing integrada con Snowflake, y le envió una muestra de datos. Para la BBC la muestra incluye también direcciones, teléfonos, correos electrónicos, números de cliente y búsquedas hechas en la web: más que los «datos de contacto básicos» que ASOS indicó al principio. La muestra no se ha verificado de forma independiente.

Según Group-IB, consultada por Infosecurity Magazine, el canal de Telegram se creó el 6 de octubre desde una cuenta que antes usaba otros nombres, relacionados con la compraventa de objetos de videojuegos. Para The Record el nombre Xuanye Group no era conocido por los investigadores; hasta ahora no se ha publicado ninguna muestra de datos.

Detalles técnicos

No hay CVE: el acceso se logró con credenciales obtenidas mediante engaño. Con lo que se sabe, el esquema encaja en dos técnicas de MITRE ATT&CK: Impersonation (T1656), para conseguir las credenciales haciéndose pasar por un contacto de confianza, y Valid Accounts (T1078), para entrar en las plataformas con credenciales válidas. ASOS no ha dicho por qué canal se produjo el engaño ni si la cuenta estaba protegida con autenticación multifactor. No hay indicadores de compromiso públicos aparte del canal de Telegram.

Lo central es la plataforma de comunicación con los clientes, gestionada por terceros: con una sola cuenta se pudo escribir a todos los usuarios de la app en nombre de la empresa. Como señala Group-IB, enviar una notificación no demuestra la posesión de una base de datos de clientes; el daño reputacional y bursátil, sin embargo, llegó antes de cualquier verificación.

Impacto para las empresas europeas e italianas

Muchas empresas confían a plataformas SaaS el marketing, las notificaciones push, el correo electrónico y los SMS a sus clientes. Estas plataformas contienen datos personales y hablan en nombre de la empresa con toda su clientela, pero a menudo las gestiona el equipo de marketing, fuera de los controles que se aplican a los sistemas centrales.

Para las entidades sujetas a NIS2 (en Italia, el Decreto Legislativo 138/2024) la seguridad de la cadena de suministro, la formación del personal y la autenticación multifactor están entre las medidas de gestión de riesgos previstas. Según el RGPD, un acceso no autorizado a los datos de los clientes es una violación que debe evaluarse para notificarla a la autoridad de control en un plazo de 72 horas.

Por último, los datos de contacto expuestos permiten un phishing creíble: ASOS pide desconfiar de mensajes y llamadas inesperados en su nombre.

Qué hacer ya

1. Haz el inventario de las plataformas que hablan con tus clientes: push, correo, SMS, CRM y marketing. En cada una comprueba quién tiene acceso, con qué permisos y quién puede escribir a toda la base de clientes.
2. Usa una autenticación resistente al phishing (llaves FIDO2 o passkeys) y lleva estas plataformas al inicio de sesión único de la empresa, para revocar a un usuario en un solo punto.
3. Define procedimientos contra la suplantación: credenciales y códigos no se entregan a petición, ni siquiera a compañeros o proveedores conocidos; la solicitud se verifica por un canal independiente, como devolver la llamada a un número ya registrado. Vale también para el helpdesk que restablece contraseñas y MFA.
4. Controla los envíos masivos: donde la plataforma lo permita, exige la aprobación de una segunda persona para las campañas a todos los clientes y configura alertas para los envíos fuera de horario.
5. Lleva los registros de las plataformas SaaS a la monitorización central: accesos desde dispositivos o países nuevos, exportaciones de datos, nuevas claves API, cambios de permisos.
6. Prepara el plan de respuesta: cómo suspender rápidamente las notificaciones, revocar sesiones y tokens (no solo cambiar la contraseña) e informar a los clientes.

Cómo ayuda ARXDOME

ARX Expose señala las cuentas de la empresa implicadas en filtraciones y los dominios parecidos al tuyo registrados por otros, elementos que pueden servir para suplantar a un contacto de confianza. ARX Sentry recoge registros y eventos de ordenadores, servidores y cortafuegos y, en las páginas del SOC dedicadas a las identidades, muestra accesos, accesos nocturnos y cambios en las cuentas. ARX Retain conserva los registros para que, en una investigación, puedas reconstruir qué pasó y cuándo.

Última actualización: 8 de octubre de 2026