Uma notificação fraudulenta chegou aos clientes
A Asos está investigando atividade não autorizada relacionada a plataformas de terceiros que utiliza para se comunicar com seus clientes. O incidente veio à tona em 6 de outubro de 2026, quando usuários receberam, por meio do aplicativo, uma notificação intitulada “Asos hacked”, com um link externo para o Telegram e uma afirmação dos remetentes de que haviam comprometido completamente um ambiente Snowflake.
A empresa pediu aos clientes que ignorassem o aviso e não clicassem nem interagissem com o link. A Asos comunicou que restringiu imediatamente o acesso às plataformas de notificação e que estava trabalhando com especialistas internos e externos, além das autoridades competentes. De acordo com a empresa, seu site e aplicativo continuavam funcionando normalmente.
Quais dados podem estar afetados
A Asos considera possível que um terceiro tenha acessado informações pessoais básicas, incluindo nomes e dados de contato. Com as informações disponíveis durante a investigação, a empresa não acredita que senhas nem dados de cartões de pagamento tenham sido comprometidos. A companhia também apontou que ainda era cedo para quantificar qualquer possível efeito comercial.
O escopo definitivo não está estabelecido. A afirmação dos atacantes sobre um acesso completo a uma instância do Snowflake não foi confirmada de forma independente nas informações disponíveis. Portanto, deve-se distinguir entre o que o grupo que reivindicou o incidente sustenta e o que a Asos comunicou sobre sua investigação. Também não foi especificado publicamente quais dados, em caso algum, foram consultados ou extraídos.
O uso de um canal legítimo apresenta um risco adicional
O episódio não levanta apenas questões sobre a possível exposição de dados: a mensagem fraudulenta apareceu em um canal que os clientes podiam identificar como oficial. A Asos descreveu a atividade como vinculada a plataformas de terceiros utilizadas para comunicações, mas não detalhou a cadeia técnica exata que permitiu enviar a notificação nem confirmou que toda a infraestrutura mencionada pelos atacantes tenha sido comprometida.
A empresa se desculpou pelo aviso não autorizado e recomendou não seguir seus links. O National Cyber Security Centre do Reino Unido ofereceu assistência à Asos. Em uma declaração citada pelo The Guardian, seu diretor executivo, Richard Horne, apontou que a notificação não autorizada mostrava que os incidentes cibernéticos não afetam apenas grandes empresas, mas também podem ter repercussões mais amplas para as pessoas.
Atenção a possíveis mensagens que aproveitem o incidente
A publicação de um incidente pode servir de pretexto para tentativas posteriores de suplantação. Especialistas citados na cobertura alertaram que podem circular e-mails, SMS ou mensagens que aparentem oferecer informações sobre a violação, solicitar uma troca de senha ou pedir dados para revisar um pedido ou processar um reembolso. Trata-se de um aviso sobre um risco possível, não da confirmação de que essas campanhas já tenham ocorrido.
A investigação continua e as informações disponíveis não permitem determinar o escopo final do acesso nem confirmar as alegações do grupo. A Asos indicou que fornecerá novas atualizações se a situação mudar.