Clientes da varejista de moda ASOS foram surpreendidos na última terça-feira (6) ao receberem uma notificação alarmante diretamente nos celulares pelo aplicativo oficial da marca, exibindo o título “ASOS HACKED” acompanhado de uma grave ameaça de exposição de dados.
Mensagem direcionada à equipe de TI
O texto do aviso não era voltado ao público geral, mas sim direcionado de forma explícita ao responsável pela proteção de dados e aos profissionais de tecnologia da companhia britânica. A comunicação exigia uma resposta urgente sob a justificativa de que os sistemas da empresa teriam sido totalmente invadidos.
“Caros DPO e equipe de TI da ASOS, comprometemos totalmente a instância Snowflake. Entrem em contato conosco ou vamos vazá-la”, dizia a mensagem, segundo Mashable e TechRadar.
O conteúdo ainda direcionava os destinatários para um canal no aplicativo Telegram para dar andamento às tratativas com os criminosos.
Controle incomum do sistema de alertas
O que tornou o episódio singular foi a estratégia adotada pelos invasores, que conseguiram burlar a segurança para utilizar um canal oficial de comunicação da varejista e transformar os próprios consumidores em espectadores de uma tentativa de extorsão.
A menção à plataforma em nuvem Snowflake gerou dúvidas imediatas, uma vez que o sistema não listava a marca entre seus clientes ativos no momento da ocorrência, indicando que a menção poderia ser apenas parte da pressão exercida. Especialistas ressaltam que a capacidade de disparar notificações prova que houve uma falha e acesso a ferramentas internas, mas não valida integralmente a extensão do roubo alardeado.
Posicionamento oficial da varejista
Diante da repercussão nas redes sociais, a companhia confirmou oficialmente a ocorrência de uma atividade não autorizada e relatou que investiga incidentes em ferramentas de terceiros utilizadas no relacionamento com o consumidor.
A empresa afirmou ter tomado medidas imediatas para restringir o acesso às plataformas de notificação e estar trabalhando com especialistas internos e externos, além das autoridades relevantes. Segundo a ASOS, o site e o aplicativo continuavam funcionando normalmente.
Houve ainda a confirmação de que dados cadastrais básicos podem ter sido alcançados, embora a marca descarte, por ora, o comprometimento de senhas e dados de cartões bancários cadastrados.
Falta de clareza sobre o impacto
Apesar da confirmação de que os sistemas de alerta foram manipulados, ainda pairam muitas dúvidas sobre o real alcance da invasão digital e a veracidade das acusações feitas pelos hackers.
A investigação da ASOS deverá determinar se houve acesso a dados armazenados na plataforma mencionada e qual foi o caminho utilizado para chegar aos sistemas responsáveis pelo envio das notificações.
Por enquanto, o fato confirmado é que uma mensagem não autorizada conseguiu chegar aos clientes por meio do aplicativo oficial da ASOS e que a empresa precisou restringir o acesso às plataformas utilizadas para comunicação com os consumidores.
