Cuando recibes un mensaje de una aplicación que tienes instalada en tu móvil y que sueles utilizar habitualmente, de manera natural confías en esa pequeña burbuja que ha aparecido en tu smartphone. Ya sea una notificación de tu banco, un nuevo correo electrónico o tu app de salud diciéndote los pasos del día: muy probablemente, de forma instintiva pulsarás encima y consultarás la información sin preguntarte si es o no seguro acceder. Precisamente de ese gesto tan cotidiano es de lo que se han aprovechado ahora los cibercriminales.

Los clientes de ASOS se han encontrado este martes con una notificación en sus teléfonos enviada aparentemente desde los propios canales de comunicación de la compañía. El mensaje, sin embargo, no procedía de la popular tienda de moda online: lo habían escrito los ciberdelincuentes que aseguraban haber accedido a sus sistemas y amenazaban con publicar información robada.

Horas después, ASOS ha reconocido oficialmente que investiga una “actividad no autorizada” relacionada con plataformas de terceros que utiliza para comunicarse con sus clientes. La compañía también admite que podrían haberse visto comprometidos nombres y datos de contacto, aunque no creen, añaden, “que la información de tarjetas de pago ni las contraseñas de las cuentas se hayan visto afectadas”. Aclaran también que la web y la app siguen funcionando con normalidad e informan de que la empresa cuenta con “un seguro de ciberseguridad con un importante proveedor global” en caso de que los problemas se agraven.

Por el momento, no hay constancia de usuarios afectados en España y los primeros reportes sobre la recepción de estas notificaciones proceden de Reino Unido. No obstante, ASOS no ha especificado cuántos clientes podrían haberse visto afectados ni en qué países se encuentran, por lo que tampoco puede descartarse que el incidente tenga un alcance mayor.

Los hackers utilizaron a los clientes para amenazar a ASOS

Lo más llamativo de este incidente es que el mensaje que apareció en los teléfonos de los clientes ni siquiera estaba dirigido a ellos. Los ciberdelincuentes comenzaban la comunicación –bajo el asunto ‘ASOS hackeado’– dirigiéndose expresamente al responsable de Protección de Datos (DPO, por sus siglas en inglés) y al equipo de seguridad informática de ASOS, según recogen medios británicos como The Guardian o BBC.

En la notificación, los atacantes aseguraban haber conseguido acceder a una instancia de Snowflake –una plataforma en la nube que permite a las empresas almacenar, centralizar y analizar grandes cantidades de información– utilizada por la compañía y amenazaban con hacer pública la información supuestamente obtenida si ASOS no se ponía en contacto con ellos. Para establecer esa comunicación proporcionaban incluso un canal de Telegram creado este mismo martes.

Es decir: los cibercriminales no tuvieron que tomar el control de la app de ASOS para que la notificación push apareciera en el teléfono de los clientes, sino que –siempre según lo afirmado por los atacantes– el acceso se produjo a través de una plataforma con la que la empresa gestiona sus comunicaciones, haciendo parecer que era un mensaje legítimo de la tienda online.