Tecnología · Filtración de datos de clientes

Los hackers de ASOS robaron búsquedas de clientes y los datos necesarios para hacer convincentes las estafas

Una muestra proporcionada por un atacante mostraba juntos los datos de contacto y las búsquedas de compras. ASOS afirma que no se accedió a información financiera ni a contraseñas, pero los clientes siguen sin tener un recuento definitivo de cuyos registros fueron sustraídos.

Emitido Escrito 9 min de lectura42 fuentesHeyDay News Desk · About usWatch report
Explorar con HeyDex

Seguir por RSS

Vídeo en su idioma original

Transcripción · CARGANDO

Traducido del original en inglés.

Seguimiento de la noticiaDía 3

1 informe32 medios42 fuentes2 vídeos

  1. Actualización 1Los hackers de ASOS robaron búsquedas de clientes y los datos necesarios para hacer convincentes las estafasEstás aquí

Un mensaje fraudulento que sabe qué has estado buscando comprar es más difícil de descartar que uno enviado al azar. Ese es el peligro práctico que revela la ampliación de la información sobre la brecha de ASOS: los hackers obtuvieron perfiles de clientes que incluían formas de contactar con las personas junto con las búsquedas que hicieron en el sitio web del minorista. La empresa afirma que no se accedió a datos de pago ni contraseñas, pero esas exclusiones no hacen que el resto de la información sea inofensiva. 2 3

Para el 8 de octubre de 2026, ASOS había informado a sus clientes de que los hackers tenían perfiles detallados que podían corresponder a millones de usuarios. La BBC informó de que una muestra proporcionada por un atacante contenía nombres, direcciones, números de teléfono, direcciones de correo electrónico, números de cliente y búsquedas en el sitio web. ASOS no ha revelado cuántas personas se vieron afectadas, cuántos perfiles fueron sustraídos ni cuánta información se descargó. «Potencialmente millones» es una escala posible, no una cifra confirmada del total de afectados por la brecha. 2

Entre las búsquedas citadas figuraban «reclaimed vintage», «glamorous wide fit» y «Asos petite». Si se combina un interés con una dirección de correo electrónico o un número de teléfono, un contacto fraudulento podría establecer una conexión convincente con las compras de la persona. Ese es un riesgo derivado de la información expuesta, no una prueba de que se haya estafado a un cliente en particular ni de que los registros se hayan publicado. Los ejemplos de búsquedas proceden de un reportaje de la BBC publicado por The Guardian. 2 3

La muestra no permite establecer ni el contenido de todos los perfiles ni el tamaño de la colección completa. La propia declaración de ASOS identifica nombres, datos de contacto y «cierta información no personal relacionada con las cuentas» como datos a los que se accedió, sin definir completamente esta última categoría. El correo electrónico completo a los clientes y el conjunto de datos no estuvieron disponibles para un examen independiente. Aun así, la información más detallada sustituye de manera sustancial la advertencia inicial de la empresa de que podrían haberse obtenido datos personales básicos. 2 3

De un mensaje fraudulento a una divulgación más completa

  1. 6 de octubre de 2026, aproximadamente a las 10:00 BST

    Algunos usuarios de la aplicación reciben una notificación no autorizada titulada «ASOS HACKED», que amenaza con filtrar datos a menos que interactúen con ella.

    1
  2. 6 de octubre, martes por la tarde

    ASOS reconoce el mensaje. Afirma que ese día restringió el acceso a las plataformas de notificación; no se ha establecido la hora exacta de la restricción.

    1
  3. 8 de octubre de 2026

    La divulgación se amplía e incluye perfiles detallados de clientes, búsquedas en el sitio web y acceso mediante credenciales robadas de un empleado.

    23

Decenas de destinatarios dijeron a la BBC que habían recibido la notificación, pero esa cifra no representa el total de destinatarios. SBS informó de que se recibió en teléfonos de Australia, lo que demuestra que el mensaje no se limitó al Reino Unido. La hora de recepción tampoco permite determinar cuándo comenzó la intrusión o la descarga. En los reportajes del 6 y 7 de octubre se describió que la aplicación y el sitio web de ASOS funcionaban con normalidad; la disponibilidad de las compras y la protección de la información de los clientes son cuestiones distintas. 1 4

Un inicio de sesión robado, una vía sin resolver

ASOS afirma que un atacante se hizo pasar por un contacto de confianza para obtener las credenciales de inicio de sesión de la cuenta de un empleado y luego las utilizó para acceder a información en plataformas de terceros. Se utilizó un servicio sin identificar para descargar datos de clientes. Este es un relato de robo de credenciales mediante suplantación, no una vulnerabilidad técnica confirmada en la plataforma de datos subyacente. Los servicios a los que se accedió, los permisos de la cuenta y el período de acceso no se han divulgado. 2 3

La notificación afirmaba: «Hemos comprometido por completo la instancia de Snowflake». Snowflake dijo que su investigación seguía en curso y que, hasta ese momento, no había encontrado indicios de que su plataforma hubiera sido comprometida. Unos ciberdelincuentes que utilizaban el nombre Xuanyewen dijeron por separado a la BBC que habían accedido a información a través de Simon AI, descrita como una plataforma basada en Snowflake. Esa vía concreta no se ha establecido de forma independiente. 1 2

Una instancia asociada a ASOS, un servicio basado en Snowflake y la plataforma subyacente de Snowflake no son intercambiables. Las credenciales robadas pueden permitir el acceso al entorno de un cliente sin demostrar que el proveedor de infraestructura en sí haya sido vulnerado. Las conclusiones disponibles no determinan a qué entorno se accedió. La amenaza de extorsión incluida en la notificación tampoco permite establecer un rescate verificado ni un pago. 1 2

Una investigación de Group-IB citada por Infosecurity vinculó la cuenta asociada al canal de Telegram xuanyewengateway, que aparecía en la notificación, con actividades anteriores de compraventa de artículos de videojuegos. OSINTsights distinguió la creación del canal, el 6 de octubre, del historial en línea más antiguo de su administrador. Se trata de una asociación basada en el historial de la cuenta, no de la identificación de un atacante en el mundo real, ni de una prueba de que quien controlaba el canal, quien envió la notificación y quien robó los datos fueran la misma persona. 23 39

El artículo de Cybernews del 7 de octubre indicaba que los investigadores no habían encontrado archivos filtrados ni muestras que probaran que alguien estuviera en posesión de registros de clientes de ASOS. La información divulgada el 8 de octubre y el examen de una muestra por parte de la BBC hacen avanzar esa posición probatoria anterior. No validan la afirmación concreta de que se comprometió por completo Snowflake. 26 2

Lo que los clientes pueden saber realmente

Las declaraciones más recientes de ASOS indican que no se accedió a información de tarjetas de pago, datos bancarios ni contraseñas de cuentas. Es una afirmación más categórica que la evaluación inicial, según la cual no se creía que las tarjetas y contraseñas se hubieran visto afectadas. ASOS dijo a sus clientes que no necesitaban hacer nada, aunque les advirtió sobre contactos no solicitados. Por separado, el experto en ciberseguridad Trevor Dearing recomendó cambiar las contraseñas como precaución y estar atentos a actividades sospechosas; esa recomendación no es una prueba de que se robaran contraseñas de ASOS. 1 2 3

El 6 de octubre, la BBC aconsejó a los clientes ignorar la notificación push no autorizada y no interactuar con ella; el mensaje contenía un enlace externo. Posteriormente, Skint Dad informó de una recomendación del NCSC de dar por hecho que los datos podían haberse visto expuestos incluso si no se recibió la notificación. La redacción exacta no aparecía en el pasaje disponible del NCSC, y las orientaciones preventivas no implican que se haya determinado que se accedió a la información de todos los clientes. 21 14 9

La colaboración con los organismos reguladores ha avanzado, pero su situación formal sigue sin estar clara. El reportaje de la BBC del 6 de octubre decía que, hasta entonces, ASOS no había informado a la Oficina del Comisionado de Información (ICO). El 7 de octubre, la ICO reconoció públicamente la preocupación de los clientes y les recomendó tener cuidado con los enlaces y archivos adjuntos. Para el 8 de octubre, ASOS dijo que colaboraba con las fuerzas del orden y los organismos reguladores. Ni la declaración disponible de la ICO ni esa descripción de la empresa permiten determinar cuándo se recibió una notificación formal de la brecha; aquí no hay pruebas que respalden que ASOS incumpliera un plazo de notificación. 1 6 3

El alcance del minorista hace que la falta de una cifra sea significativa, pero no permite completarla. El reportaje inicial citaba más de 10 millones de descargas de la aplicación para Android, alrededor de 17 millones de clientes al año y más de 150 mercados. Las descargas son instalaciones acumuladas, no personas cuyos datos se hayan visto expuestos; los clientes anuales y los mercados son medidas del tamaño de la empresa, no cifras de afectados por la brecha. 1

Los inversores reaccionaron con fuerza, aunque las cifras porcentuales citadas siguen sin concordar. BBC News describió el 6 de octubre una caída de alrededor de una décima ese martes. FRANCE 24 English informó esa misma tarde de un máximo intradía del 12% y una pérdida del 7% al cierre. SBS News informó el 7 de octubre de una caída del 10% durante la noche. Las descripciones de la BBC y SBS no especifican las horas exactas de observación ni los precios de referencia; las variaciones intradía y al cierre son medidas distintas. 1 5 4

El registro de precios históricos del FT indica un cierre de 454.00p y un mínimo diario de 426.50p el 6 de octubre. En comparación con el cierre anterior de 502.00p citado por Daily Political, esas cifras implican caídas del 9.56% y el 15.04%, respectivamente, distintas de las cifras de FRANCE 24. Los cálculos siguen siendo condicionales porque el extracto disponible del FT no mostraba la fila del día anterior. En otro cálculo intradía, Shattered.io indicó una caída de hasta el 13.2% y un precio de 439p, por encima del mínimo registrado de toda la jornada. No hay pruebas concluyentes de que la brecha explique por sí sola todo el movimiento de ese día. 33 31 5 29

Lo que sabemos

  • Se obtuvo información de clientes y ASOS atribuye el acceso al uso de credenciales robadas de un empleado. 23

Lo que no sabemos

  • La cifra final de personas afectadas, el período de acceso, la lista completa de servicios y la fecha confirmada de notificación a la ICO siguen sin divulgarse o establecerse.

Lo que viene

  • Un recuento completo de los registros sustraídos y de cómo se utilizaron las credenciales robadas para acceder a ellos. No se ha establecido una fecha para el próximo anuncio ni un plazo para la investigación.

La cuestión central ya no es si se trató simplemente de un problema en el sistema de notificaciones. Se sustrajeron perfiles de clientes. Lo que sigue sin saberse es de quiénes, y los clientes todavía no tienen un recuento definitivo de su exposición individual.

Fuentes utilizadas para este reportaje

BBC News proporcionó la información inicial sobre la notificación 1, el reportaje ampliado sobre los perfiles 2, su versión RSS 7, el reportaje sobre la notificación de BBC.com 24, la cobertura en directo 12 25 y consejos para los clientes 21. The Guardian publicó la declaración de la empresa a los clientes en su cobertura empresarial en directo 3. SBS News 4 y FRANCE 24 English 5 aportaron reportajes de sus servicios informativos.

El material oficial incluyó la declaración de la ICO sobre ASOS 6, el anuncio de ASOS publicado por Investegate 8 y la página del NCSC sobre el incidente 9 y su PDF 10. Otros reportajes sobre el incidente procedieron de BleepingComputer 11, Drapers 13, Irish Independent 15, Retail Insight Network 18, SecurityWeek 19 y Daily Mail 20.

Entre las orientaciones para clientes y otros reportajes figuraron Skint Dad 14, ALLATRA Media 17 y la guía de protección de The Independent 16, su reportaje ampliado sobre la brecha 22, el informe sobre el robo de credenciales 37 y la explicación de la notificación 41. Cybernews proporcionó su evaluación anterior de las pruebas 26.

Los reportajes sobre el historial de las cuentas procedieron de la investigación de Infosecurity sobre Telegram 23, OSINTsights 39 y Tech Debrief 40. También informaron sobre la notificación Infosecurity 38, Forbes 32 y The Paypers 42.

Las fuentes sobre el mercado fueron la tabla de precios históricos del FT 33, Daily Political 31, Shattered.io 29, Global Banking & Finance Review 27, Sharecast 28, AskTraders 30, FashionNetwork 34, la página de precios históricos de Investors Chronicle 35 y The Sunday Guardian 36.

Tal como se emitió 29 líneas
  1. Hackers obtained ASOS customer profiles containing contact details and website searches. The possible scale reaches millions, but no affected-person count is confirmed. Combining shopping interests with ways to contact someone could make fraudulent messages more convincing. How much information was taken, and what can customers actually know about their exposure?
  2. Searches included “reclaimed vintage,” “glamorous wide fit” and “Asos petite.” Those interests could give an unsolicited message a plausible shopping connection. That is a fraud risk, not evidence that a particular customer has been defrauded or that the records have been publicly released.
  3. The detailed records include names, addresses, phone numbers, email addresses, customer numbers and website searches. “Potentially millions” describes possible scale, not a verified total. Neither the number of people affected, the number of profiles taken nor the download volume has been disclosed.
  4. ASOS's disclosure has changed materially. On 6 October, basic personal information, including names and contact details, might have been accessed. By 8 October, detailed profiles were part of the disclosure. The examined sample does not establish what every profile contains or the contents of the complete collection.
  5. The account-related category still lacks a full definition. Names and contact details were accessed on third-party platforms, alongside information described as non-personal and account-related. That description cannot erase the fuller profile exposure. The complete customer email and dataset were not available for independent examination.
  6. An attacker impersonated a trusted contact, obtained an employee account's login credentials, then used that access to reach customer information on third-party platforms. An unnamed service enabled the download. This describes stolen-account access, not an established technical vulnerability in the underlying data platform.
  7. The first access time, download time and duration remain undisclosed. So do the specific services reached and the employee account's permissions. This is an interim explanation, not a completed public forensic reconstruction. Restricting one notification service cannot, by itself, establish the extent of access elsewhere.
  8. The rogue notification reached phones in the United Kingdom and Australia. It arrived on 6 October at approximately 10:00 British Summer Time, or 09:00 UTC. That timestamps the customer-facing message, not the start of data access, and these locations do not define the breach's full geography.
  9. The notification threatened a data leak unless recipients engaged with the attackers, and included an external link. Its claim of a fully compromised Snowflake instance remains unverified. There is no established ransom amount or evidence that a customer or ASOS paid the attackers.
  10. Dozens of recipients reported receiving the message; that is not a total recipient count. ASOS acknowledged it on Tuesday afternoon and restricted access to its notification platforms that day. The exact acknowledgement and restriction times are unknown.
  11. The app and website were operating normally in the 6–7 October accounts. Continued shopping availability does not undo information already obtained. Customers were advised to disregard the unauthorised notification and not engage with it, rather than follow the link or respond to its threat.
  12. Snowflake's ongoing investigation had found no compromise of its platform so far. The name Xuanyewen is attached to a separate, unverified claim of access through Simon AI, described as built on Snowflake. The precise environment accessed remains unresolved.
  13. A customer-associated instance, a service built on Snowflake and Snowflake's underlying platform are different things. Stolen credentials can expose a customer environment without establishing a breach of the infrastructure provider. The employee-credential explanation does not independently validate the attackers' specific platform claim.
  14. The Telegram channel xuanyewengateway appeared in the notification and was created on 6 October. Its administering account had an earlier online history linked to gaming-item trading. That association suggests an identity reorganized around the incident; it does not identify a real-world attacker.
  15. The forum name, matching profile or identifier and a verified connection to the intrusion remain unavailable. It is also unproven that the channel controller, notification sender and data thief were the same person. A 7 October finding of no possession-proving samples preceded the 8 October profile disclosure and sample examination; the evidence advanced, without proving full Snowflake compromise.
  16. Payment-card information, bank details and account passwords were not accessed in the latest company assessment. That is stronger than the initial wording that cards and passwords were not believed impacted. It does not make exposed contact details or search history harmless.
  17. Customers were told they did not need to take action, while also being warned about unsolicited contact. A separate precautionary recommendation was to change passwords and watch for suspicious activity. That recommendation is not evidence that ASOS passwords were stolen.
  18. The precautionary warning's verbatim wording and the expert's organisational affiliation are not established. The practical distinction is between a confirmed password exposure—which is not identified here—and taking an extra precaution while the scope of other exposed information remains uncertain.
  19. The UK data regulator publicly addressed the incident on 7 October and encouraged caution with links and attachments. That establishes awareness, not receipt of a formal company breach notification. On 6 October, ASOS had not informed the regulator as of the account published that day.
  20. By 8 October, ASOS was working with law enforcement and regulators. Whether and when it formally notified the Information Commissioner's Office remains unclear. No confirmed receipt date or case-specific reporting deadline is established, so there is no supported finding that ASOS missed a deadline.
  21. Not receiving the push notification does not settle whether information was accessed. Precautionary advice to assume exposure has been described second-hand, but its exact first-party wording is unavailable. It is not a finding that every ASOS customer's information was taken.
  22. The National Cyber Security Centre's incident page repeated the initial assessment about names, contact details, cards and passwords. Assistance to ASOS was also described, but the available official passage does not establish what was offered or delivered. That gap does not prove assistance or advice was absent.
  23. The Android app had more than 10 million Google Play downloads; ASOS served around 17 million customers annually across more than 150 markets. Downloads are cumulative installations, not active users or notification recipients. None of these figures supplies an exposed-profile count or a verified breach rate.
  24. ASOS shares fell on 6 October, but the reported measures differ: around 10% that Tuesday; a 12% intraday maximum and 7% closing loss; and 10% overnight. The around-10% and overnight descriptions do not establish exact observation times or comparison prices.
  25. The full-day price record gives a 454.00-pence close and a 426.50-pence low. A separately reported previous close is 502.00 pence. The historical-table excerpt did not include the prior-day row, leaving that denominator without a second checked record.
  26. Using 502.00 pence, the close calculates to a 9.56% decline and the daily low to 15.04%. Another intraday account gave up to 13.2% and 439 pence—higher than the recorded full-day minimum. These remain distinct accounts, not one settled percentage.
  27. The conditional closing calculation fits “around 10%,” but differs from the reported 7% close. The conditional low-based calculation exceeds the reported 12% maximum. No established evidence assigns the whole day's share movement exclusively to the breach.
  28. This was more than a notification-system disturbance: customer profiles were obtained. But the total, access window and full service list remain undisclosed. There is no completed public forensic report, law-enforcement outcome, confirmed regulator-notification date or dated next announcement or investigation deadline.
  29. The answer is that identifying details and website searches are part of the exposure, but its full scale and individual reach remain unknown. Customers still lack a definitive accounting of which records were taken, while names, ways to contact them and shopping searches may now sit together outside the company's control.

Fuentes

42 fuentes32 medios2 vídeos

Mapa de fuentes

Consulta las pruebas que respaldan este informe. El mapa muestra sus conexiones; los enlaces de abajo abren las fuentes citadas en este artículo.

El mapa de fuentes se carga mientras lees.

Explorar el mapa completo de la redacción ↗

Traducción actualizada el

Historial de revisiones

  1. r1Primera publicación.