A Asos agora informou seus clientes que hackers estão em posse de perfis detalhados pertencentes a potencialmente milhões de usuários da loja online. Essa atualização chegou apenas depois que a BBC News informou educadamente à varejista que criminosos cibernéticos entraram em contato para dizer que a violação desta semana foi um pouco além dos "dados básicos de contato" que a Asos havia sugerido anteriormente que poderiam ter sido acessados.

Então, para deixar claro: nomes, endereços, números de telefone, e-mails e números de clientes agora estão nas mãos de criminosos cibernéticos. Assim como as buscas que os clientes fizeram no site. Termos como "reclaimed vintage", "glamorous wide fit" e "Asos petite" estão visíveis nos dados. Sim, seu histórico de navegação noturno agora é munição de phishing para alguém.

Com essas informações, golpistas podem ser capazes de criar e-mails ou ligações de phishing potentes. O risco para os indivíduos agora é maior, e os clientes estão sendo alertados sobre possíveis golpes de personificação.

Em seu e-mail para os clientes, a Asos confirmou que perfis de dados foram levados, mas disse que nenhum dado bancário ou senha foi acessado. "Por favor, permaneça cauteloso com mensagens ou ligações inesperadas alegando ser da Asos", disse. "Nunca pediremos que você compartilhe senhas, códigos de segurança ou detalhes de pagamento por meio de uma mensagem ou ligação não solicitada." A empresa não respondeu a perguntas sobre a escala da violação, o que é uma maneira de lidar com as coisas.

O hack de alto perfil ganhou manchetes globais na terça-feira, quando criminosos cibernéticos usaram o próprio sistema de aplicativo da Asos para enviar uma notificação pop-up para potencialmente milhões de pessoas. Mais tarde naquele dia, a empresa confirmou aos acionistas por meio da Bolsa de Valores de Londres que o pop-up foi enviado por um "terceiro não autorizado" e "informações pessoais básicas, incluindo nome e detalhes de contato, podem ter sido acessadas". A empresa então enviou um e-mail aos clientes com palavras semelhantes.

Na quarta-feira à noite, os criminosos cibernéticos responsáveis entraram em contato com a BBC compartilhando uma amostra dos dados roubados que mostrou a verdadeira extensão do hack. A BBC adiou a publicação deste artigo para permitir que a Asos contatasse seus clientes primeiro, o que é mais cortesia do que os hackers mostraram.

A Asos disse que ainda está investigando como o hack aconteceu. Disse aos clientes que os hackers "obtiveram acesso a uma conta de funcionário da Asos se passando por um contato confiável para obter credenciais de login". Com esse login em um serviço não identificado, os hackers conseguiram baixar os dados dos clientes.

Na notificação pop-up enviada aos clientes pelos hackers, eles afirmaram ter "comprometido a instância Snowflake". Snowflake é uma empresa popular de armazenamento e análise de dados cujos clientes foram violados no passado devido a logins não autorizados. Os criminosos cibernéticos, autodenominando-se Xuanyewen, afirmaram à BBC que usaram uma plataforma construída nativamente sobre o Snowflake - chamada Simon AI - para obter acesso aos dados. A Simon AI foi contatada para comentar. A Snowflake disse anteriormente que sua plataforma não foi violada.

A Asos disse que os clientes não estão sendo solicitados a tomar nenhuma medida. Mas especialistas em segurança cibernética alertaram os usuários para alterar senhas como precaução e ficar atentos a atividades suspeitas.

A Asos disse que seu site e aplicativo são seguros para uso e "sabemos que nossos clientes confiam em nós com suas informações". "Levamos essa responsabilidade a sério e já tomamos medidas adicionais para fortalecer ainda mais os controles de segurança", disse. O que é reconfortante, se um pouco tardio.