Una notificación fraudulenta llegó a los clientes
Asos investiga actividad no autorizada relacionada con plataformas de terceros que utiliza para comunicarse con sus clientes. El incidente salió a la luz el 6 de octubre de 2026, cuando usuarios recibieron desde la aplicación una notificación titulada “Asos hacked”, con un enlace externo a Telegram y una afirmación de los remitentes de que habían comprometido por completo un entorno de Snowflake.
La compañía pidió a los clientes que ignorasen el aviso y que no pulsaran ni interactuaran con el enlace. Asos comunicó que había restringido de inmediato el acceso a las plataformas de notificación y que trabajaba con especialistas internos y externos, además de las autoridades pertinentes. Su web y su aplicación seguían funcionando con normalidad, según la empresa.
Qué datos podrían estar afectados
Asos considera posible que un tercero haya accedido a información personal básica, incluidos nombres y datos de contacto. Con la información disponible durante la investigación, la empresa no cree que se hayan comprometido contraseñas ni datos de tarjetas de pago. La compañía también señaló que todavía era pronto para cuantificar cualquier posible efecto comercial.
El alcance definitivo no está establecido. La afirmación de los atacantes sobre un acceso completo a una instancia de Snowflake no ha sido confirmada de forma independiente en la información disponible. Por tanto, debe distinguirse entre lo que sostiene el grupo que se atribuyó el incidente y lo que Asos ha comunicado sobre su investigación. Tampoco se ha precisado públicamente qué datos, en su caso, fueron consultados o extraídos.
El uso de un canal legítimo plantea un riesgo adicional
El episodio no solo plantea preguntas sobre la posible exposición de datos: el mensaje fraudulento apareció en un canal que los clientes podían identificar como oficial. Asos ha descrito la actividad como vinculada a plataformas de terceros utilizadas para las comunicaciones, pero no ha detallado la cadena técnica exacta que permitió enviar la notificación ni ha confirmado que se comprometiera toda la infraestructura mencionada por los atacantes.
La empresa se disculpó por el aviso no autorizado y recomendó no seguir sus enlaces. El National Cyber Security Centre del Reino Unido ofreció asistencia a Asos. En una declaración citada por The Guardian, su director ejecutivo, Richard Horne, señaló que la notificación no autorizada mostraba que los incidentes cibernéticos no solo afectan a las grandes empresas, sino que también pueden tener repercusiones más amplias para las personas.
Atención a posibles mensajes que aprovechen el incidente
La publicación de un incidente puede servir de pretexto para intentos posteriores de suplantación. Expertos citados en la cobertura advirtieron que podrían circular correos, SMS o mensajes que aparenten ofrecer información sobre la brecha, solicitar un cambio de contraseña o pedir datos para revisar un pedido o tramitar un reembolso. Se trata de una advertencia sobre un riesgo posible, no de la confirmación de que ya se hayan producido esas campañas.
La investigación continúa y la información disponible no permite determinar el alcance final del acceso ni confirmar las alegaciones del grupo. Asos indicó que ofrecería nuevas actualizaciones si la situación cambiaba.