Num movimento que especialistas em cibersegurança estão a chamar de "audacioso" e "profundamente sério", hackers conseguiram enviar uma notificação push aos utilizadores da app da Asos na manhã de terça-feira que dizia "ASOS HACKED". A mensagem, dirigida ao responsável pela proteção de dados da empresa e às equipas de TI, informava os destinatários de que a sua instância Snowflake tinha sido "totalmente comprometida" e exigia contacto através de um canal Telegram, sob pena de os dados serem divulgados. Porque nada diz "somos profissionais" como usar o sistema de notificações de uma app de roupa como nota de resgate.

Dezenas de clientes disseram à BBC que receberam a mensagem alarmante por volta das 10:00 BST, com alguns a afirmar que ficaram "assustados" a abrir a app. Jodie, uma analista de Edimburgo, pensou inicialmente que era uma promoção peculiar: "Ao princípio pensei que era um anúncio ou uma promoção divertida como 'ASOS HACKED, 50% de desconto em tudo por tempo limitado'", disse. "Depois li o resto da mensagem que mostrava claramente que não era um anúncio, mas sim uma mensagem para a TI." Erin, uma estudante da Universidade de Sheffield, manifestou preocupação com a possibilidade de os seus dados bancários, morada e número de telefone terem sido comprometidos, e questionou a extensão da violação: "Todos os clientes são afetados, mesmo os que não receberam a notificação? É mau da parte da Asos em todos os aspetos."

A Asos reconheceu a "notificação não autorizada ao cliente" na tarde de terça-feira, afirmando que estava a investigar "atividade não autorizada" envolvendo plataformas de terceiros. A empresa disse que algumas "informações pessoais básicas" podem ter sido acedidas, mas não acredita que informações de cartões de pagamento ou palavras-passe de contas tenham sido afetadas. Num email aos clientes na noite de terça-feira, a Asos pediu desculpa e apelou para que não interagissem com a notificação, prometendo que o site e a app estão a "funcionar normalmente" e que os clientes podem "comprar com confiança" enquanto a investigação continua. A empresa ainda não informou o regulador de dados do Reino Unido, o Information Commissioner's Office (ICO), sobre qualquer violação.

O número exato de clientes afetados continua por esclarecer, mas com a app ASOS descarregada mais de 10 milhões de vezes só no Android, e o retalhista britânico a servir cerca de 17 milhões de clientes anualmente em mais de 150 mercados, o alcance potencial é significativo. Relatos da Austrália, França, Suécia e República da Irlanda indicam que a notificação não se limitou ao Reino Unido. As ações da empresa caíram cerca de um décimo na terça-feira, porque nada diz "compre com confiança" como uma queda nas ações.

Charlotte Wilson, responsável de enterprise na empresa de cibersegurança Check Point, classificou o ataque como "profundamente sério" e "audacioso", observando que os hackers aparentemente "transformaram a própria app da Asos na sua nota de resgate". Aconselhou os clientes a não ficarem "assustados e amedrontados", mas a mudarem as palavras-passe, evitarem clicar no link da notificação e terem cuidado com possíveis emails ou SMS fraudulentos. O National Cyber Security Centre ofereceu assistência à Asos.

A Snowflake, cujas ferramentas são usadas por dezenas de empresas para recolher, analisar e armazenar dados, disse à BBC que a sua investigação está em curso, mas até agora não encontrou "qualquer comprometimento" da sua plataforma. No entanto, os serviços da empresa têm sido alvo de muitas violações de dados de alto perfil nos últimos anos. A especialista em cibersegurança Jen Ellis observou que a Snowflake recolhe dados de múltiplas fontes para análise, e uma empresa "enorme" como a Asos terá muitos dados sobre como as pessoas compram globalmente. Dan Bird, da empresa de cibersegurança Horizon3, salientou que enviar uma notificação push aos utilizadores da app da Asos exigiria acesso ao sistema de notificações da empresa, que é separado da plataforma de dados Snowflake que os atacantes alegam ter comprometido. "Se ambas as alegações se confirmarem, sugere que os atacantes obtiveram credenciais que abriram mais do que uma porta", disse.

O incidente pode vir a ser um momento significativo na história dos ciberataques, pois é raro os hackers procurarem pressionar potenciais vítimas informando os seus clientes — a maioria das extorsões ocorre em privado.