Asos Confirma Vazamento de Dados Após Falsa Notificação Via App

A confirmação do vazamento de dados da Asos pelo grupo Xuanye expõe uma estratégia de ataque em múltiplas camadas que preocupa o setor de cibersegurança. Os criminosos não se limitaram a roubar informações, mas orquestraram uma tática de pressão utilizando o próprio sistema de notificação do aplicativo da Asos. Essa ação transforma uma plataforma de comunicação legítima em ferramenta de extorsão. O método de acesso, através de engenharia social para obtenção de credenciais, é um alerta sobre a persistência e eficácia das táticas de manipulação humana, especialmente quando envolvem plataformas de terceiros, como o Snowflake. A dúvida sobre a presença de autenticação multifator (MFA) na instância do Snowflake usada pela Asos reforça a importância de defesas básicas, mas críticas, que muitas vezes são negligenciadas em ambientes complexos.

As informações roubadas incluem nomes, detalhes de contato, endereços residenciais, números de telefone e, notavelmente, notas de perfil de clientes, como consultas de pesquisa. Este último dado é especialmente sensível, pois revela hábitos e interesses de consumo, aumentando o potencial de uso para ataques de phishing ou vendas no mercado negro. A intrusão em um sistema de terceiros para enviar notificações enganosas aos clientes, como a que a Asos vivenciou, já foi vista em outras situações. A fintech Betterment, por exemplo, também sofreu um ataque onde hackers usaram uma plataforma de marketing de terceiros para enviar golpes a clientes. O ataque à Asos destaca a crescente necessidade de as empresas auditarem rigorosamente a segurança de seus parceiros e de qualquer ferramenta que possa ser vetor para acesso ou manipulação de informações críticas.

Em 7 de outubro de 2026, o CEVIU News publicou a notícia Asos sob Investigação Após Suposto Compromisso de Dados no Snowflake, relatando que a varejista estava investigando notificações recebidas por usuários. Agora, a Asos não apenas confirma o vazamento de dados, mas também detalha o método de ataque e as informações comprometidas. O que era um

Este incidente com a Asos é um estudo de caso sobre a evolução das táticas de extorsão no campo da cibersegurança. Não se trata apenas de roubar dados, mas de usar a infraestrutura da própria vítima para amplificar o impacto do ataque e forçar uma negociação. Para empresas, isso significa que a gestão de vulnerabilidades precisa ir além da proteção de dados em si, abrangendo também a segurança das ferramentas de comunicação e o controle de acesso a sistemas de terceiros. A resiliência contra ataques de engenharia social se torna uma prioridade, exigindo treinamento constante de equipes e a implementação rigorosa de autenticação multifator para todos os acessos privilegiados.

Para os consumidores, o caso Asos reforça a necessidade de desconfiança diante de comunicações incomuns, mesmo que pareçam vir de fontes legítimas. Os dados roubados, incluindo histórico de pesquisa, podem ser usados para personalização de golpes de phishing, tornando-os mais convincentes. A lição é clara: a segurança da informação é uma responsabilidade compartilhada, mas a carga maior recai sobre as empresas que detêm e processam informações pessoais sensíveis. Um ataque como este tem o potencial de erodir a confiança do cliente de forma significativa, impactando não só a reputação, mas também a saúde financeira da empresa a longo prazo.