Hackers da ASOS roubaram buscas de clientes — e os dados para tornar golpes convincentes

Uma mensagem fraudulenta que sabe o que você tem pesquisado para comprar é mais difícil de descartar do que uma enviada aleatoriamente. Esse é o perigo prático revelado pela divulgação ampliada da violação de dados da ASOS: hackers obtiveram perfis de clientes que reuniam formas de contato com as pessoas e buscas feitas no site da varejista. Segundo a empresa, dados de pagamento e senhas não foram acessados, mas essas exclusões não tornam as outras informações inofensivas. ^{2 3}

Em 8 de outubro de 2026, a ASOS havia informado aos clientes que hackers possuíam perfis detalhados que poderiam envolver milhões de usuários. A BBC noticiou que uma amostra fornecida por um invasor continha nomes, endereços, números de telefone, endereços de e-mail, números de cliente e buscas feitas no site. A ASOS não divulgou quantas pessoas foram afetadas, quantos perfis foram obtidos nem quanto de informação foi baixado. “Possivelmente milhões” indica uma escala possível, não um total confirmado da violação. ²

As buscas noticiadas incluíam “reclaimed vintage”, “glamorous wide fit” e “Asos petite”. Associar um interesse a um endereço de e-mail ou número de telefone pode dar a um contato fraudulento uma ligação convincente com compras. Esse é um risco decorrente das informações expostas — não uma prova de que um cliente específico tenha sido vítima de fraude ou de que os registros tenham sido divulgados publicamente. Os exemplos de busca vêm de uma reportagem da BBC reproduzida pelo The Guardian. ^{2 3}

A amostra não comprova o conteúdo de todos os perfis nem o tamanho da coleção completa. A própria declaração da ASOS identifica nomes, dados de contato e “certas informações não pessoais relacionadas à conta” como informações acessadas, sem definir completamente a última categoria. O e-mail completo enviado aos clientes e o conjunto de dados não estavam disponíveis para análise independente. Ainda assim, o relato mais completo substitui materialmente o alerta inicial da empresa de que informações pessoais básicas poderiam ter sido acessadas. ^{2 3}

Dezenas de destinatários disseram à BBC que receberam a notificação, mas isso não é o total de pessoas que a receberam. A SBS informou que a mensagem chegou a celulares na Austrália, o que comprova que ela não se restringiu ao Reino Unido. O horário de recebimento tampouco permite determinar quando começaram a invasão ou o download. Os relatos de 6 e 7 de outubro descreveram o aplicativo e o site da ASOS como funcionando normalmente; a disponibilidade para compras e a proteção das informações dos clientes são questões distintas. ^{1 4}

A ASOS afirma que um invasor se fez passar por um contato de confiança para obter as credenciais de login da conta de um funcionário e, em seguida, usou-as para acessar informações em plataformas de terceiros. Um serviço não identificado foi usado para baixar dados de clientes. Trata-se de um relato de roubo de credenciais por meio de falsidade ideológica — não de uma vulnerabilidade técnica comprovada na plataforma de dados subjacente. Os serviços acessados, as permissões da conta e o período de acesso continuam sem divulgação. ^{2 3}

A notificação afirmava: “Comprometemos totalmente a instância do Snowflake.” A Snowflake disse que sua investigação estava em andamento e que, até então, não havia encontrado comprometimento de sua plataforma. Cibercriminosos que usavam o nome Xuanyewen disseram separadamente à BBC que acessaram informações por meio do Simon AI, descrito como uma plataforma construída sobre o Snowflake. Esse caminho específico não foi estabelecido de forma independente. ^{1 2}

Uma instância associada à ASOS, um serviço construído sobre o Snowflake e a plataforma subjacente da Snowflake não são a mesma coisa. Credenciais roubadas podem permitir acesso ao ambiente de um cliente sem provar que a própria provedora de infraestrutura foi violada. As conclusões disponíveis não esclarecem qual ambiente foi acessado. A ameaça de extorsão na notificação também não comprova um valor de resgate ou pagamento. ^{1 2}

Uma pesquisa do Group-IB, noticiada pela Infosecurity, associou a conta ligada ao canal do Telegram xuanyewengateway, que apareceu na notificação, a atividades anteriores de negociação de itens de jogos. A OSINTsights distinguiu a criação do canal, em 6 de outubro, do histórico online mais antigo de seu administrador. Trata-se de uma associação com o histórico da conta, não da identificação de um invasor no mundo real — nem de prova de que o controlador do canal, o remetente da notificação e quem roubou os dados eram a mesma pessoa. ^{23 39}

A matéria da Cybernews de 7 de outubro afirmou que pesquisadores não haviam encontrado arquivos vazados nem amostras que comprovassem a posse de registros de clientes da ASOS. A divulgação de 8 de outubro e a análise de uma amostra pela BBC avançam em relação a essa posição probatória anterior. Elas não validam a alegação específica de comprometimento total do Snowflake. ^{26 2}

As declarações mais recentes da ASOS dizem que informações de cartões de pagamento, dados bancários e senhas de contas não foram acessados. Isso é mais categórico do que a avaliação inicial, segundo a qual não se acreditava que cartões e senhas tivessem sido afetados. A ASOS informou aos clientes que não precisavam tomar nenhuma medida, mas os alertou sobre contatos não solicitados. Separadamente, o especialista em cibersegurança Trevor Dearing recomendou trocar as senhas por precaução e ficar atento a atividades suspeitas; essa recomendação não é prova de que senhas da ASOS tenham sido roubadas. ^{1 2 3}

A orientação da BBC publicada em 6 de outubro recomendou que os clientes desconsiderassem a notificação push não autorizada e não interagissem com ela; a mensagem continha um link externo. Posteriormente, o Skint Dad noticiou uma orientação da NCSC para presumir que os dados foram expostos mesmo sem receber a notificação. A redação exata não estava visível no trecho disponível da NCSC, e uma orientação preventiva não significa que se concluiu que as informações de todos os clientes foram acessadas. ^{21 14 9}

O contato com os órgãos reguladores avançou, mas sua situação formal continua incerta. A reportagem da BBC de 6 de outubro disse que, até então, a ASOS não havia informado o Information Commissioner’s Office. Em 7 de outubro, o ICO reconheceu publicamente as preocupações dos clientes e recomendou cautela com links e anexos. Em 8 de outubro, a ASOS afirmou que estava trabalhando com autoridades policiais e órgãos reguladores. Nem a declaração disponível do ICO nem essa descrição da empresa estabelecem quando uma notificação formal da violação foi recebida; não há aqui uma conclusão fundamentada de que a ASOS tenha perdido um prazo de notificação. ^{1 6 3}

O alcance da varejista torna relevante a ausência de um número, mas não permite preenchê-la. A reportagem inicial citou mais de 10 milhões de downloads do aplicativo Android, cerca de 17 milhões de clientes por ano e mais de 150 mercados. Downloads são instalações acumuladas, não pessoas expostas; clientes anuais e mercados são indicadores da escala do negócio, não totais da violação. ¹

Os investidores reagiram com força, embora os percentuais noticiados continuem divergentes. Em 6 de outubro, a BBC News descreveu uma queda de cerca de um décimo naquele dia, uma terça-feira. Naquela noite, a FRANCE 24 English noticiou uma queda máxima intradiária de 12% e uma perda de 7% no fechamento. Em 7 de outubro, a SBS News noticiou uma queda de 10% durante a noite. As descrições da BBC e da SBS não especificam os horários exatos de observação nem os preços de comparação; variações intradiárias e de fechamento são medidas diferentes. ^{1 5 4}

O histórico de preços do FT registra fechamento de 454.00p e mínima diária de 426.50p em 6 de outubro. Em comparação com o fechamento anterior de 502.00p informado pelo Daily Political, isso implica quedas de 9.56% e 15.04%, respectivamente — diferentes dos números da FRANCE 24. Os cálculos permanecem condicionais porque o trecho disponível do FT não mostrava a linha do dia anterior. Um relato intradiário separado da Shattered.io indicou queda de até 13.2% e preço de 439p, acima da mínima registrada para o dia inteiro. Não há evidências estabelecidas de que toda a movimentação do dia tenha sido causada exclusivamente pela violação. ^{33 31 5 29}

A questão central já não é se isso foi apenas uma perturbação em um sistema de notificações. Perfis de clientes foram obtidos. Falta saber de quem — e os clientes ainda não têm um levantamento definitivo de sua exposição individual.

A BBC News forneceu o relato inicial sobre a notificação ¹, a reportagem ampliada sobre os perfis ², sua versão em RSS ⁷, o relato da BBC.com sobre a notificação ²⁴, a cobertura ao vivo ^{12 25} e orientações aos clientes ²¹. O Guardian publicou a declaração da empresa na cobertura ao vivo de negócios ³. A SBS News ⁴ e a FRANCE 24 English ⁵ forneceram relatos em suas transmissões.

O material oficial compreendeu a declaração do ICO sobre a ASOS ⁶, o comunicado da ASOS publicado pela Investegate ⁸ e a página ⁹ e o PDF ¹⁰ da NCSC sobre o incidente. Outras coberturas do incidente vieram do BleepingComputer ¹¹, Drapers ¹³, Irish Independent ¹⁵, Retail Insight Network ¹⁸, SecurityWeek ¹⁹ e Daily Mail ²⁰.

Entre as orientações aos clientes e outras coberturas estavam o Skint Dad ¹⁴, a ALLATRA Media ¹⁷ e o guia de proteção do The Independent ¹⁶, sua reportagem ampliada sobre a violação ²², a matéria sobre roubo de credenciais ³⁷ e a explicação sobre a notificação ⁴¹. A Cybernews forneceu sua avaliação anterior das evidências ²⁶.

As reportagens sobre o histórico das contas vieram da investigação da Infosecurity sobre o Telegram ²³, da OSINTsights ³⁹ e da Tech Debrief ⁴⁰. A Infosecurity ³⁸, a Forbes ³² e o The Paypers ⁴² também cobriram a notificação.

As fontes sobre o mercado foram a tabela histórica de preços do FT ³³, o Daily Political ³¹, a Shattered.io ²⁹, a Global Banking & Finance Review ²⁷, a Sharecast ²⁸, a AskTraders ³⁰, a FashionNetwork ³⁴, a página de preços históricos da Investors Chronicle ³⁵ e o The Sunday Guardian ³⁶.