En un movimiento que los expertos en ciberseguridad califican de "descarado" y "profundamente serio", los hackers lograron enviar una notificación push a los usuarios de la aplicación de Asos el martes por la mañana que decía "ASOS HACKED". El mensaje, dirigido al responsable de protección de datos de la empresa y a los equipos de TI, informaba a los destinatarios que su instancia de Snowflake había sido "totalmente comprometida" y exigía comunicación a través de un canal de Telegram, so pena de filtrar los datos. Porque nada dice "somos profesionales" como usar el sistema de notificaciones de una aplicación de ropa como nota de rescate.

Decenas de clientes dijeron a la BBC que recibieron el alarmante mensaje alrededor de las 10:00 BST, y algunos afirmaron que les dejó "asustados" a la hora de abrir la aplicación. Jodie, una analista de Edimburgo, inicialmente pensó que era una promoción peculiar: "Al principio pensé que era un anuncio o una promoción divertida como 'ASOS HACKED, obtén un 50% de descuento en todo por tiempo limitado'", dijo. "Luego leí el resto del mensaje, que mostraba claramente que no era un anuncio, sino un mensaje para TI". Erin, una estudiante de la Universidad de Sheffield, expresó su preocupación por que su información bancaria, dirección particular y número de teléfono se vieran comprometidos, y cuestionó el alcance de la brecha: "¿Están afectados todos los clientes aunque no hayan recibido la notificación? Es lamentable por parte de Asos en todos los frentes".

Asos reconoció la "notificación no autorizada a clientes" el martes por la tarde, y declaró que estaba investigando "actividad no autorizada" relacionada con plataformas de terceros. La empresa dijo que es posible que se haya accedido a cierta "información personal básica", pero no cree que se hayan visto afectados los datos de tarjetas de pago ni las contraseñas de las cuentas. En un correo electrónico enviado a los clientes el martes por la noche, Asos se disculpó y les instó a no interactuar con la notificación, prometiendo que el sitio web y la aplicación "funcionan con normalidad" y que los clientes pueden "comprar con confianza" mientras continúa la investigación. La empresa aún no ha informado a la autoridad británica de protección de datos, la Oficina del Comisionado de Información (ICO), sobre ninguna brecha.

El número exacto de clientes afectados sigue sin estar claro, pero con la aplicación ASOS descargada más de 10 millones de veces solo en Android, y el minorista británico atendiendo a unos 17 millones de clientes anualmente en más de 150 mercados, el alcance potencial es significativo. Informes desde Australia, Francia, Suecia y la República de Irlanda indican que la notificación no se limitó al Reino Unido. Las acciones de la empresa cayeron alrededor de una décima parte el martes, porque nada dice "compra con confianza" como una caída bursátil.

Charlotte Wilson, responsable de empresa en la firma de ciberseguridad Check Point, calificó el ataque de "profundamente serio" y "descarado", y señaló que los hackers aparentemente habían "convertido la propia aplicación de Asos en su nota de rescate". Aconsejó a los clientes no estar "asustados ni atemorizados", sino cambiar las contraseñas, evitar hacer clic en el enlace de la notificación y ser cautelosos con posibles correos electrónicos o mensajes de texto fraudulentos. El Centro Nacional de Ciberseguridad del Reino Unido ha ofrecido asistencia a Asos.

Snowflake, cuyas herramientas utilizan decenas de empresas para recopilar, analizar y almacenar datos, dijo a la BBC que su investigación está en curso, pero que hasta ahora no ha encontrado "ningún compromiso" de su plataforma. Sin embargo, los servicios de la compañía han sido objeto de muchas brechas de datos de alto perfil en los últimos años. La experta en ciberseguridad Jen Ellis señaló que Snowflake recopila datos de múltiples fuentes para su análisis, y una empresa "enorme" como Asos tendrá una gran cantidad de datos sobre cómo compra la gente en todo el mundo. Dan Bird, de la firma de ciberseguridad Horizon3, señaló que enviar una notificación push a los usuarios de la aplicación de Asos requeriría acceso al sistema de notificaciones de la empresa, que es independiente de la plataforma de datos Snowflake que los atacantes afirman haber comprometido. "Si ambas afirmaciones se sostienen, sugiere que los atacantes obtuvieron credenciales que abrieron más de una puerta", dijo.

El incidente puede pasar a la historia como un momento significativo en la historia de los ciberataques, ya que es raro que los hackers que buscan presionar a posibles víctimas informen a sus clientes; la mayoría de las extorsiones ocurren en privado.