Los clientes de ASOS en Reino Unido recibieron el martes 6 de octubre un presunto mensaje de extorsión a través de la propia app de la compañía. La notificación llegó a los teléfonos hacia las 10:00, hora de Londres, y, aunque se mostró dentro de la app oficial, iba dirigida a la responsable de protección de datos (DPO) y al equipo de TI de ASOS.

El texto que apareció en pantalla decía:

Dear ASOS DPO and IT, we have fully compromised the Snowflake instance. Engage with us, or we will leak it.

Es decir, los autores afirmaban haber comprometido por completo la instancia de Snowflake y amenazaban con filtrar datos si nadie contactaba con ellos. La nota estaba firmada como ‘xuanyewengateway’ e incluía un enlace a un canal de Telegram vinculado a un grupo que se autodenomina ‘Xuanye Group’. Decenas de personas contaron a la BBC que habían recibido el mensaje, y muchas otras compartieron capturas en redes sociales preguntándose qué significaba.

¿Qué es Snowflake y qué papel juega en este caso?

Snowflake es una plataforma de datos en la nube que las empresas usan para almacenar, procesar y analizar grandes volúmenes de información. El mensaje aseguraba que la instancia de ASOS en esa plataforma estaba ‘totalmente comprometida’, pero no se sabe con seguridad si ASOS es cliente de Snowflake. La BBC señaló que Snowflake ha aparecido vinculada a incidentes que afectaron a servicios como Ticketmaster y Santander.

Según los investigadores de Malwarebytes, la conexión podría ser indirecta: ASOS utiliza Simon AI, una herramienta de personalización para marketing que funciona sobre Snowflake. Aun así, el uso de esa herramienta no confirma qué datos, si es que había alguno, pudieron quedar al alcance de los atacantes.

ASOS confirma una ‘notificación no autorizada’

ASOS confirmó que la notificación enviada a los clientes no había sido autorizada y que está investigando una actividad no autorizada en plataformas de terceros que utiliza para comunicarse con ellos. La compañía dijo que tomó medidas inmediatas para restringir el acceso a las plataformas de notificación y que trabaja con asesores especialistas internos y externos, así como con las autoridades pertinentes.

En cuanto a los datos, ASOS indicó que es posible que se haya accedido a información personal básica, como nombres y datos de contacto, pero que no cree que estuvieran afectados los datos de tarjetas de pago ni las contraseñas. Snowflake, por su parte, aseguró que, después de conocer el aviso, abrió una investigación y que en ese momento no había encontrado ningún compromiso en su plataforma.

Por qué llama tanto la atención

Varios analistas de seguridad consultados destacaron lo inusual del canal elegido. La mayoría de las extorsiones de ciberdelincuentes se negocian en privado, con la esperanza de lograr un pago discreto. En este caso, el presunto chantaje se emitió directamente a los clientes a través de la app oficial.

Dan Bird, de Horizon3, señala que el envío de una notificación push a los usuarios de ASOS exigiría acceso al sistema de notificaciones de la empresa, que es independiente de la plataforma de Snowflake mencionada en el mensaje. Si las dos afirmaciones se sostienen, los atacantes podrían haber obtenido credenciales que abrieron más de una puerta.

Jake Moore, de ESET, sostiene que, si se confirma, podría tratarse de uno de los incidentes más visibles de la historia, aunque matiza que el envío de la notificación no demuestra por sí solo el alcance del acceso a los datos.

Qué se sabe de los datos y qué recomendaron los expertos

En el canal de Telegram vinculado al grupo, según recogió The Guardian, se afirmó que la información de pago no estaba afectada y que la app era segura de usar, pero esas afirmaciones no han sido verificadas de forma independiente. Ante la incertidumbre, los expertos y las publicaciones especializadas consultadas recomiendan no pulsar el enlace del mensaje, no entrar en el canal de Telegram y cambiar las contraseñas como precaución adicional. ASOS, mientras tanto, mantenía su web y su app operativas, según la compañía.