Cuando la nota de extorsión llega a través de tu propia aplicación

La mañana del 6 de octubre, los usuarios de la aplicación de ASOS en el Reino Unido y varios otros mercados recibieron una notificación push de la tienda, que normalmente les informa de las novedades y los códigos de descuento. Esta vez decía «ASOS HACKEADA». Iba dirigida al responsable de protección de datos (DPO) y al equipo de TI de la empresa, afirmaba que los atacantes habían «comprometido por completo la instancia de Snowflake» y amenazaba con filtrar datos si ASOS no se ponía en contacto con ellos a través de un canal de Telegram. 

En menos de una hora, las acciones de ASOS habían caído más de un 10 %. Los atacantes no habían publicado ni un solo registro. 

Lo que sabemos hasta ahora

ASOS confirmó esa misma tarde que se había enviado una notificación no autorizada y que estaba investigando la actividad en las plataformas de terceros que utiliza para comunicarse con sus clientes. Restringió el acceso a esas plataformas y señaló que podrían haberse visto expuestos nombres y datos de contacto. No cree que se hayan visto afectados los datos de tarjetas de pago ni las contraseñas de las cuentas. 

El 8 de octubre, la empresa explicó cómo habían accedido los atacantes. Alguien se hizo pasar por un contacto de confianza y convenció a un empleado de ASOS para que le entregara las credenciales de acceso a su cuenta de trabajo. Esas credenciales permitieron a los atacantes acceder a las plataformas de comunicación con los clientes. ASOS ha notificado el incidente a la Oficina del Comisionado de Información, que lo está evaluando. 

​​La afirmación sobre Snowflake sigue sin demostrarse. Snowflake afirma que su investigación no encontró indicios de que su plataforma hubiera sido comprometida y el grupo responsable del mensaje, que se hace llamar Xuanye Group, no ha publicado datos de muestra. Que aparezcan registros de muestra en los próximos días contribuirá en gran medida a resolver la cuestión. Mientras tanto, el Centro Nacional de Ciberseguridad del Reino Unido (NCSC) ha recomendado a los clientes de ASOS que den por hecho que podrían verse afectados, hayan recibido o no la notificación.​​​ 

Por qué la IA eleva el nivel de riesgo

​​Las consecuencias de ese incidente son más graves de lo que sugieren los datos básicos. Cada vez más, los minoristas que desarrollan sistemas de personalización impulsados por IA centralizan datos de comportamiento, transacciones y demográficos en un único perfil de cliente. ​Esos perfiles permiten ofrecer recomendaciones más precisas y un marketing más pertinente. En manos de un atacante, sirven para cometer fraudes con la misma eficacia. ​​     ​​ 

​​​​Los atacantes ya no tienen que redactar a mano señuelos personalizados. En un experimento de campo con más de 7.700 participantes, investigadores de BIFOLD y TU Berlin, en colaboración con Inria and Ruhr University Bochum, descubrieron que el phishing personalizado generado por IA logró una tasa de clics 2,4 veces superior a la del phishing genérico​.​​ 

​​​Las herramientas de comunicación que estuvieron en el centro del incidente de ASOS merecen la misma atención. Las plataformas de interacción con los clientes que segmentan, personalizan y envían mensajes en nombre de un minorista tienen tanto los datos de los clientes como los medios para llegar a todos ellos a la vez. Esa combinación las convierte en un objetivo por derecho propio. ​​ 

Extorsión ante el público

Los grupos de extorsión suelen empezar enviando un mensaje privado a la víctima. Las negociaciones se llevan a cabo a puerta cerrada y, si el público llega a enterarse de una brecha, suele ser a través de un sitio de filtraciones o de una comunicación oficial ante los organismos reguladores. 

Los atacantes de ASOS invirtieron ese orden. Avisaron primero a los clientes e hicieron que los medios y los inversores estuvieran pendientes antes de que ASOS hubiera confirmado nada. Aunque el grupo no tuviera ningún dato, una sola notificación push generó presión del mercado sobre ASOS y redujo el tiempo que tenía para responder públicamente. Ese retraso generó desconfianza entre los clientes y presión del mercado sobre ASOS. 

La elección del canal agrava el daño. Los clientes aceptan recibir notificaciones de la aplicación porque confían en quien las envía. La formación sobre concienciación en seguridad enseña a comprobar la dirección del remitente o a pasar el cursor sobre un enlace, pero un mensaje enviado a través de la aplicación auténtica en el teléfono del usuario supera esas comprobaciones. Cada uso indebido de ese canal lo hace menos fiable para los mensajes legítimos que un minorista necesita enviar, incluidas las futuras notificaciones de brechas. 

Qué significa esto para los clientes

Lo más probable es que se produzcan nuevos intentos de phishing. Los delincuentes suelen aprovechar la publicidad que genera una brecha para enviar falsas ofertas de reembolso, solicitudes para restablecer contraseñas y correos electrónicos que notifican una brecha y conducen a páginas destinadas a robar credenciales. Los clientes de ASOS deberían desconfiar de cualquier mensaje inesperado sobre el incidente, evitar el enlace de Telegram y consultar sus cuentas abriendo directamente la aplicación o el sitio web. Cambiar las contraseñas reutilizadas y activar la verificación en dos pasos frenará los intentos más comunes de apropiación de cuentas antes de que comiencen. 

Qué significa esto para los minoristas

Los atacantes no llegaron a través del sitio web ni de la aplicación de ASOS. Accedieron mediante las credenciales de un empleado y las herramientas de terceros conectadas a ellas. La superficie de ataque de un minorista incluye las redes corporativas y de desarrollo, las plataformas de datos de clientes, las aplicaciones SaaS, las cuentas de servicio, las herramientas de comunicación y los proveedores conectados a estos entornos. 

Toda organización depende de las prácticas de seguridad de sus proveedores, lo que convierte la diligencia debida en una obligación continua. Cada integración con un proveedor puede ampliar la superficie de ataque de una organización e introducir riesgos adicionales, por lo que debe someterse a una evaluación cuidadosa y revisarse periódicamente. Las evaluaciones de riesgos deben realizarse al seleccionar a un proveedor y a intervalos regulares a partir de entonces, junto con un registro claro de qué cuentas de proveedores pueden llegar directamente a los clientes. Se trata de un esfuerzo continuo, no de un proyecto puntual. Las revisiones periódicas ayudan a mantener actualizada esa información y a identificar cambios que podrían introducir nuevos riesgos. 

Esas revisiones también deben abarcar quién tiene acceso a los canales de comunicación con los clientes. Los servicios de notificaciones push de las aplicaciones propias, las pasarelas de SMS y las plataformas de correo electrónico pueden llegar a millones de personas en cuestión de segundos, por lo que los minoristas necesitan un registro claro de qué cuentas de proveedores pueden enviar mensajes directamente a los clientes. Deben proteger esas cuentas con autenticación multifactor (MFA) resistente al phishing y contar con un procedimiento probado para revocar el acceso rápidamente. Mantener el control de estos canales también permite a los minoristas comunicarse con los clientes a través de un medio de confianza y aclarar la situación cuando algo sale mal.  

La regulación apunta en la misma dirección. Desde el 11 de septiembre de 2026, la Ley de Ciberresiliencia de la UE exige a los fabricantes de productos con elementos digitales que notifiquen a ENISA y a los CSIRT nacionales las vulnerabilidades explotadas activamente y los incidentes graves en un plazo de 24 horas. Este requisito ahora hace que los minoristas sean responsables de la seguridad de las aplicaciones que distribuyen, pero las plataformas que envían mensajes a través de esas aplicaciones suelen estar en manos de proveedores a los que la regulación no alcanza. 

​​Para ASOS, reconstruir la confianza significa demostrar a los clientes que tanto sus datos como los canales utilizados para comunicarse con ellos son seguros. Para los demás minoristas, esto constituye un recordatorio contundente de que deben revisar sus relaciones con los proveedores, entender a qué puede acceder cada proveedor y asegurarse de poder responder rápidamente si alguien hace un uso indebido de ese acceso.​