Asos ha informado ahora a sus clientes de que los hackers poseen perfiles detallados de potencialmente millones de usuarios de la tienda online. Esta actualización llegó solo después de que BBC News informara amablemente al minorista de que los ciberdelincuentes se habían puesto en contacto para decir que la brecha de esta semana iba algo más allá de los "datos de contacto básicos" que Asos había sugerido previamente que podrían haber sido accedidos.

Así que, para que quede claro: nombres, direcciones, números de teléfono, correos electrónicos y números de cliente están ahora en manos de ciberdelincuentes. También lo están las búsquedas que los clientes han realizado en el sitio web. Términos como "reclaimed vintage", "glamorous wide fit" y "Asos petite" son visibles en los datos. Sí, tu historial de navegación nocturno es ahora la munición de phishing de alguien.

Con esta información, los estafadores podrían ser capaces de elaborar potentes correos electrónicos o llamadas telefónicas de phishing. El riesgo para las personas es ahora mayor, y se está advirtiendo a los clientes sobre posibles estafas de suplantación de identidad.

En su correo electrónico a los clientes, Asos confirmó que se tomaron perfiles de datos pero dijo que no se accedió a datos bancarios ni contraseñas. "Por favor, manténgase cauteloso ante mensajes o llamadas inesperadas que afirmen ser de Asos", dijo. "Nunca le pediremos que comparta contraseñas, códigos de seguridad o datos de pago a través de un mensaje o llamada no solicitados". La empresa no respondió a preguntas sobre la escala de la brecha, que es una forma de manejar las cosas.

El hackeo de alto perfil acaparó titulares globales el martes cuando los ciberdelincuentes utilizaron el propio sistema de aplicaciones de Asos para enviar una notificación emergente a potencialmente millones de personas. Más tarde ese día, la empresa confirmó a los accionistas a través de la Bolsa de Londres que la ventana emergente fue enviada por un "tercero no autorizado" y que "puede que se haya accedido a información personal básica, incluido el nombre y los datos de contacto". Luego, la empresa envió un correo electrónico a los clientes con una redacción similar.

El miércoles por la noche, los ciberdelincuentes responsables contactaron con la BBC compartiendo una muestra de los datos robados que mostraba la verdadera magnitud del hackeo. La BBC retrasó la publicación de este artículo para permitir que Asos contactara primero a sus clientes, lo que es más cortesía de la que mostraron los hackers.

Asos dijo que todavía está investigando cómo ocurrió el hackeo. Dijo a los clientes que los hackers "obtuvieron acceso a una cuenta de empleado de Asos haciéndose pasar por un contacto de confianza para obtener credenciales de inicio de sesión". Con ese inicio de sesión en un servicio no identificado, los hackers pudieron descargar los datos de los clientes.

En la notificación emergente enviada a los clientes por los hackers, afirmaron haber "comprometido la instancia de Snowflake". Snowflake es una popular empresa de almacenamiento y análisis de datos cuyos clientes han sido vulnerados en el pasado debido a inicios de sesión no autorizados. Los ciberdelincuentes, que se hacen llamar Xuanyewen, afirmaron a la BBC que utilizaron una plataforma construida de forma nativa sobre Snowflake, llamada Simon AI, para obtener acceso a los datos. Se ha contactado a Simon AI para obtener comentarios. Snowflake dijo anteriormente que su plataforma no había sido vulnerada.

Asos dijo que no se pide a los clientes que tomen ninguna medida. Pero los expertos en ciberseguridad han advertido a los usuarios que cambien las contraseñas como precaución y estén alerta ante actividades sospechosas.

Asos dijo que su sitio web y su aplicación son seguros de usar y que "sabemos que nuestros clientes confían en nosotros con su información". "Nos tomamos esa responsabilidad en serio y ya hemos tomado medidas adicionales para reforzar aún más los controles de seguridad", dijo. Lo cual es tranquilizador, aunque un poco tardío.