Usuarios de la aplicación móvil de ASOS en el Reino Unido han recibido notificaciones emergentes de extorsión, un incidente que ha generado alarma en la comunidad tecnológica y en los círculos de ciberseguridad. Según reportes de la BBC, decenas de personas han confirmado a través de redes sociales que han visto mensajes sospechosos en sus teléfonos, dirigidos a la oficina de protección de datos (DPO) y al equipo de TI de la empresa de moda y belleza. El mensaje, que ha sido compartido públicamente, afirma: "Estimado DPO y equipo de TI de ASOS, hemos comprometido por completo la instancia de Snowflake. Negocie con nosotros o publicaremos la información". ASOS no ha respondido de inmediato a las solicitudes de comentario de los medios, aunque la empresa ha sido identificada como el objetivo de este ataque.
Charlotte Wilson, responsable de empresas en Check Point, una firma de ciberseguridad, ha descrito el incidente como un ataque "profundamente serio". La razón principal de esta gravedad radica en la audacia de los atacantes: han convertido la propia aplicación de ASOS en una nota de extorsión. "Millones de personas confían en las notificaciones de las aplicaciones en sus teléfonos porque supuestamente provienen directamente de la empresa", señala Wilson. Este enfoque es inusual, ya que la mayoría de las extorsiones cibernéticas se realizan de forma privada, esperando que la discreción de los hackers resulte en un pago silencioso. En este caso, la exposición pública del ataque ha puesto en riesgo la confianza de los usuarios en la seguridad de su dispositivo.
El mensaje de extorsión menciona específicamente que los hackers han "comprometido por completo la instancia de Snowflake", una empresa de almacenamiento de datos utilizada por decenas de firmas para la recopilación, análisis y almacenamiento de información. Sin embargo, no se ha confirmado si ASOS es cliente de Snowflake ni qué datos, si los hay, se almacenan en el servicio. Es notable que Snowflake haya sido el objetivo de brechas de datos de alto perfil en los últimos años, vinculada a incidentes que afectaron a servicios como Ticketmaster y Santander. La publicación pública de esta supuesta brecha es atípica, ya que los ciberdelincuentes suelen mantener el control sobre la información para facilitar negociaciones privadas.
El grupo de hackers, identificado como Xuanye Group, ha creado un canal de Telegram el mismo día en que se hizo público el ataque. Hasta la fecha, el grupo ha publicado solo tres mensajes, siendo el último el relacionado con ASOS. Dan Bird, de la firma Horizon3, ha analizado la técnica utilizada y ha señalado una posible inconsistencia en las afirmaciones de los atacantes. Bird argumenta que el envío de una notificación push a los usuarios de ASOS requeriría acceso al sistema de notificaciones de la empresa, que es independiente de la plataforma de datos Snowflake. "Si ambas afirmaciones son ciertas, sugiere que los atacantes obtuvieron credenciales que abrieron más de una puerta", explica Bird. Esto implica que el acceso no se limitó a la base de datos de Snowflake, sino que pudo haberse extendido a otros sistemas críticos de la empresa.
El incidente ha dejado a ASOS en una posición delicada. Por un lado, la empresa ha sido identificada como un objetivo de un ataque sofisticado que ha comprometido su reputación y la seguridad de sus usuarios. Por otro lado, la falta de una respuesta inmediata por parte de ASOS ha generado confusión entre los usuarios, muchos de los cuales no comprenden el significado de los mensajes. La comunidad de ciberseguridad está vigilando de cerca para determinar si se trata de una prueba de concepto, una táctica de desinformación o un ataque real de extorsión. Mientras tanto, los usuarios de ASOS en el Reino Unido siguen bajo vigilancia, esperando una declaración oficial de la empresa sobre el alcance del incidente y las medidas de seguridad implementadas. Este caso resalta la vulnerabilidad de las notificaciones push en la era digital y la necesidad de una mayor transparencia por parte de las empresas ante incidentes de seguridad que afectan directamente a los consumidores.