Na manhã de 6 de outubro de 2026, uma notificação push não autorizada chegou a clientes da ASOS pelo aplicativo oficial da varejista britânica de moda, alegando que a empresa teria sido invadida. A ASOS confirmou o incidente em comunicado regulatório no mesmo dia, restringiu o acesso às plataformas de comunicação afetadas e acionou assessores internos, externos e autoridades competentes. A leitura defensiva é direta: trate o episódio como exposição de dados pessoais de titulares em escala de massa, prepare-se para phishing direcionado nos próximos dias e, se a sua operação também depende de plataformas de terceiros que concentram dados de clientes, revise hoje as credenciais e sessões que dão acesso a essas bases.
O que aconteceu na ASOS
No comunicado ao mercado, a ASOS afirmou que a mensagem partiu de atividade não autorizada envolvendo plataformas terceiras que a empresa usa para se comunicar com clientes. A companhia diz ter tomado ação imediata para restringir o acesso às plataformas de notificação e que site e aplicativo seguem operando sem interrupção. Também informou possuir seguro de cibersegurança, incluindo continuidade de negócio, e considerou cedo demais para quantificar qualquer impacto comercial. A escala do problema não é pequena: a própria ASOS declara 16,5 milhões de clientes ativos em mais de 100 mercados.
O Centro Nacional de Segurança Cibernética do Reino Unido (NCSC) publicou orientação oficial sobre o caso. A recomendação central é assumir o comprometimento: se você é cliente da ASOS, deve considerar-se afetado mesmo sem ter recebido a notificação. O NCSC também alerta que mensagens suspeitas podem chegar tempos depois de um incidente e orienta não clicar em links recebidos em notificações push, e-mails ou mensagens, além de recomendar senhas fortes e exclusivas com verificação em duas etapas ou passkeys. Para conferir se seus dados circulam em outros vazamentos, veja o guia como saber se seus dados vazaram.
Como os invasores entraram
Em atualização publicada em 9 de outubro, a Malwarebytes relata a confirmação da própria ASOS: credenciais de um funcionário, obtidas por engano, abriram acesso a plataformas de terceiros. Os atacantes enganaram um empregado até obter login e senha e usaram essas credenciais para acessar informações em serviços externos contratados pela varejista. A empresa diz ter bloqueado as plataformas afetadas e reforçado controles de segurança.
Os invasores disseram à BBC que o caminho passou pelo Simon AI, plataforma de personalização construída sobre Snowflake e usada pela ASOS. A Snowflake declarou não ter encontrado comprometimento de sua plataforma: credenciais roubadas de conta de cliente não implicam falha no serviço subjacente, e não há evidência pública de vulnerabilidade na Snowflake ou no Simon AI. O ponto para quem defende redes é outro — o perímetro que cedeu não foi o da ASOS, e sim identidades com privilégios sobre bases de titulares mantidas fora dele.
Segundo relatos da imprensa, o grupo exige resgate para apagar os dados e deu um prazo de duas semanas para contato. A ASOS não divulgou se pagará e afirma que a investigação completa levará semanas, com contato direto aos clientes sempre que houver ação ou apoio necessários. A imprensa também registrou cerca de cinco horas de silêncio entre a notificação enviada pelos criminosos e o comunicado oficial — um lembrete de que o plano de comunicação de crise precisa estar pronto antes do incidente.
O que os dados expostos permitem
O comunicado da ASOS avalia que nomes e detalhes de contato podem ter sido acessados, e que dados de cartão de pagamento e senhas de conta não teriam sido afetados. Relatos posteriores da BBC, compilados pela Malwarebytes a partir de uma amostra enviada pelos próprios atacantes, indicam exposição mais ampla: nomes e endereços residenciais, telefones, e-mails, números de cliente, datas de nascimento, termos pesquisados no site e desde quando a pessoa usa a ASOS.
| Dado relatado como exposto | Risco principal | Ação do titular |
|---|---|---|
| Nome e endereço residencial | Golpes de impostor com dados reais | Desconfiar de contato não solicitado |
| Telefone e e-mail | Smishing e spear phishing direcionados | Nunca clicar em links de mensagens recebidas |
| Data de nascimento e número de cliente | Superação de etapas de verificação de identidade | Não confirmar dados em contato que chegou até você |
| Histórico de buscas na loja | Mensagens com produtos e ofertas críveis | Acessar o site digitando o endereço no navegador |
Buscas por marcas e categorias específicas parecem inofensivas, mas permitem reconstruir perfil de consumo, medidas preferidas e relação com a loja. Com nome, endereço e histórico de buscas em mãos, um golpe deixa de ser genérico e vira mensagem personalizada sobre entrega, reembolso ou conta bloqueada. A defesa prática combina desconfiança de contato não solicitado com o reconhecimento dos truques descritos no artigo sobre phishing financeiro com caracteres invisíveis.
Sinais a verificar agora
Para equipes que administram plataformas de marketing, analytics ou personalização operadas por terceiros, o incidente sugere uma triagem imediata:
- Sessões ativas e histórico de login nas consoles de terceiros, procurando horários, geolocalização ou dispositivos incomuns.
- Contas de serviço e integrações com acesso a dados de titulares: quem detém cada credencial, quando foi usada pela última vez e se existe MFA.
- Tokens e chaves de API de plataformas de push e comunicação, com revogação e rotação de tudo que não tem dono claro.
- Logs de exportação e download de bases de clientes nos últimos 30 dias, comparando volume com a média histórica.
- Canal interno para o funcionário reportar engano sem medo: aqui, o primeiro indício foi uma pessoa ludibriada, não um alarme de malware.
Ações prioritárias para equipes
- P1 — MFA resistente a phishing em todo acesso a dados de titulares, inclusive em plataformas terceiras; passkeys eliminam o cenário de senha única entregue por engano.
- P1 — Inventário de terceiros com acesso a dados pessoais: fornecedor, dado acessado, responsável interno e evidência de controle. Sem esse mapa, a resposta ao incidente depende do ritmo do fornecedor.
- P1 — Revogação preventiva de credenciais de longa duração e adoção de tokens de curta duração nas integrações entre sistemas.
- P2 — Plano de comunicação testado, com mensagem pronta, porta-voz definido e canal oficial verificável, para não deixar o relato do incidente nas mãos dos atacantes.
- P2 — Monitoramento de abuso pós-vazamento: campanhas que citam dados reais do titular em e-mail, SMS ou push, com regras de bloqueio no gateway de mensagens.
O caso ASOS ainda está em investigação, mas o padrão já é legível: identidade humana com privilégio amplo, base de dados fora do perímetro e comunicação que demorou a alcançar o cliente. Quem corrige esses três pontos antes do próprio incidente chega à crise com menos dados expostos e mais credibilidade.