Quando a mensagem de extorsão chega pelo seu próprio aplicativo

Na manhã de 6 de outubro, usuários do aplicativo da ASOS no Reino Unido e em vários outros mercados receberam uma notificação push da varejista, de quem normalmente recebem notícias sobre novidades e códigos de desconto. Desta vez, a mensagem dizia: “ASOS HACKEADA”. Ela era dirigida ao Responsável pela Proteção de Dados (DPO) e à equipe de TI da empresa, afirmava que os invasores haviam “comprometido totalmente a instância do Snowflake” e ameaçava vazar dados, a menos que a ASOS entrasse em contato por um canal do Telegram. 

Em uma hora, as ações da ASOS haviam caído mais de 10%. Os invasores não haviam publicado um único registro. 

O que sabemos até agora

A ASOS confirmou naquela tarde que uma notificação não autorizada havia sido enviada e que estava investigando atividades em plataformas de terceiros usadas para se comunicar com os clientes. A empresa restringiu o acesso a essas plataformas e informou que nomes e dados de contato podem ter sido expostos. Acredita que os dados de cartões de pagamento e as senhas das contas não foram afetados. 

Em 8 de outubro, a empresa explicou como os invasores conseguiram entrar. Alguém se fez passar por um contato de confiança e convenceu um funcionário da ASOS a fornecer as credenciais de acesso à sua conta de trabalho. Essas credenciais deram aos invasores acesso às plataformas de comunicação com os clientes. A ASOS notificou o Information Commissioner’s Office, que está avaliando o incidente. 

​​A alegação sobre o Snowflake continua sem comprovação. O Snowflake afirma que sua investigação não encontrou indícios de comprometimento da plataforma, e o grupo por trás da mensagem, que se identifica como Xuanye Group, não divulgou dados de amostra. A eventual divulgação de registros de amostra nos próximos dias ajudará muito a esclarecer a questão. Enquanto isso, o Centro Nacional de Segurança Cibernética do Reino Unido (NCSC) recomendou aos clientes da ASOS que presumam que podem ter sido afetados, tenham ou não recebido a notificação.​​​ 

Por que a IA eleva o nível de risco

​​O impacto desse incidente é maior do que os dados básicos sugerem. Varejistas que desenvolvem experiências personalizadas com IA centralizam cada vez mais dados comportamentais, transacionais e demográficos em um único perfil de cliente. ​Esses perfis tornam as recomendações mais precisas e o marketing mais relevante. Nas mãos de um invasor, eles também aumentam a eficácia das fraudes. ​​     ​​ 

​​​​Os invasores já não precisam criar iscas personalizadas manualmente. Em um experimento de campo com mais de 7.700 participantes, pesquisadores da BIFOLD e da TU Berlin, em colaboração com Inria e Ruhr University Bochum, constataram que o phishing personalizado gerado por IA alcançou uma taxa de cliques 2,4 vezes maior que a do phishing genérico​.​​ 

​​​As ferramentas de comunicação no centro do incidente da ASOS merecem a mesma atenção. As plataformas de engajamento do cliente que segmentam públicos, personalizam mensagens e as enviam em nome de uma varejista reúnem tanto os dados dos clientes quanto os meios para alcançar todos eles de uma só vez. Essa combinação faz dessas plataformas alvos por si só. ​​ 

Extorsão diante de uma plateia

Grupos de extorsão geralmente começam enviando uma mensagem privada à vítima. As negociações acontecem a portas fechadas, e o público fica sabendo de uma violação, se é que fica, por meio de um site de vazamentos ou de um comunicado regulatório. 

Os invasores da ASOS inverteram essa ordem. Primeiro, avisaram os clientes e atraíram a atenção da mídia e dos investidores, antes que a ASOS confirmasse qualquer coisa. Mesmo que o grupo não tivesse nenhum dado, uma única notificação push criou pressão de mercado sobre a ASOS e reduziu o tempo que a empresa tinha para se manifestar publicamente. Esse atraso gerou dúvidas entre os clientes e pressão de mercado para a ASOS. 

A escolha do canal agrava o dano. Os clientes aceitam receber notificações do aplicativo porque confiam em quem as envia. O treinamento de conscientização em segurança ensina as pessoas a verificar o endereço do remetente ou passar o cursor sobre um link, mas uma mensagem enviada pelo aplicativo oficial no próprio celular passa por essas verificações. Cada uso indevido desse canal reduz sua confiabilidade para as mensagens legítimas que uma varejista precisa enviar, inclusive futuras notificações sobre violações. 

O que isso significa para os clientes

A consequência mais provável é uma campanha de phishing. Criminosos costumam aproveitar a repercussão de uma violação para enviar falsas ofertas de reembolso, solicitações de redefinição de senha e e-mails de notificação de violação que levam a páginas criadas para roubar credenciais. Os clientes da ASOS devem desconfiar de qualquer mensagem inesperada sobre o incidente, evitar o link do Telegram e verificar suas contas acessando diretamente o aplicativo ou o site. Trocar senhas reutilizadas e ativar a verificação em duas etapas impede as tentativas mais comuns de invasão de contas antes que elas comecem. 

O que isso significa para as varejistas

Os invasores não entraram pelo site nem pelo aplicativo da ASOS. Eles usaram as credenciais de um funcionário e as ferramentas de terceiros conectadas a elas. A superfície de ataque de um varejista inclui redes corporativas e de desenvolvimento, plataformas de dados de clientes, aplicativos SaaS, contas de serviço, ferramentas de comunicação e os fornecedores conectados a esses ambientes. 

Toda organização depende das práticas de segurança de seus fornecedores, o que torna a devida diligência uma obrigação contínua. Cada integração com um fornecedor pode ampliar a superfície de ataque de uma organização e introduzir riscos adicionais; por isso, todas devem ser avaliadas cuidadosamente e revisadas com regularidade. As avaliações de risco devem ser feitas no momento da escolha do fornecedor e em intervalos regulares depois disso, além de se manter um registro claro de quais contas de fornecedores podem entrar em contato diretamente com os clientes. Esse é um trabalho contínuo, não um projeto pontual. Revisões regulares ajudam a manter esse panorama atualizado e a identificar mudanças que possam introduzir novos riscos. 

Essas revisões também devem verificar quem tem acesso aos canais de comunicação com os clientes. Os serviços de notificações push por meio de aplicativos próprios, os gateways de SMS e as plataformas de e-mail podem alcançar milhões de pessoas em segundos; por isso, os varejistas precisam manter um registro claro de quais contas de fornecedores podem enviar mensagens diretamente aos clientes. Eles devem proteger essas contas com autenticação multifator (MFA) resistente a phishing e ter um procedimento testado para revogar rapidamente o acesso. Manter o controle desses canais também oferece aos varejistas uma forma confiável de entrar em contato com os clientes e esclarecer os fatos quando algo dá errado.  

A regulamentação segue na mesma direção. Desde 11 de setembro de 2026, o Regulamento de Ciberresiliência da UE exige que os fabricantes de produtos com elementos digitais comuniquem à ENISA e às equipes nacionais de resposta a incidentes de segurança informática (CSIRTs) as vulnerabilidades exploradas ativamente e os incidentes graves no prazo de 24 horas. Essa exigência agora responsabiliza os varejistas pela segurança dos aplicativos que lançam, mas as plataformas que enviam mensagens por meio desses aplicativos muitas vezes pertencem a fornecedores que não são abrangidos pela regulamentação. 

​​Para a ASOS, reconquistar a confiança significa mostrar aos clientes que tanto seus dados quanto os canais usados para entrar em contato com eles são seguros. Para outros varejistas, isso é um alerta contundente para que examinem suas relações com os fornecedores, entendam a que cada prestador tem acesso e garantam que possam reagir rapidamente se esse acesso for usado de forma indevida.​