Abertura
Em 2024, a ASOS confirmou que hackers acessaram seu banco de dados e extraíram informações que incluem nomes, endereços de e‑mail, datas de nascimento e histórico de buscas de produtos. A divulgação feita pelo Malwarebytes Labs indica que os dados foram comprometidos em um período ainda não especificado, mas que já está em circulação entre grupos criminosos. A consequência imediata é o aumento da vulnerabilidade dos consumidores a tentativas de phishing que utilizam detalhes de navegação para parecer mais legítimas.
Contexto
Historicamente, a ASOS tem investido em segurança digital para proteger milhões de clientes ao redor do mundo, mas o crescimento acelerado do comércio eletrônico tem atraído a atenção de atores maliciosos. O ataque ocorreu em um cenário onde a indústria de moda online enfrenta pressão constante para melhorar a proteção de dados pessoais, especialmente após a implementação de regulamentações como o GDPR na Europa. Nesse contexto, a empresa havia anunciado recentemente a adoção de protocolos de autenticação multifator, mas o invasor conseguiu contornar as defesas ao explorar credenciais comprometidas em outro serviço.
Impacto
Os usuários afetados variam de compradores ocasionais a clientes frequentes que utilizam a plataforma para adquirir roupas e acessórios. A escala do vazamento ainda não foi quantificada, porém a inclusão das buscas realizadas no site permite que criminosos criem mensagens de phishing altamente personalizadas, aumentando a taxa de sucesso de golpes. Para as empresas, o incidente serve como alerta sobre a necessidade de monitorar não apenas informações de pagamento, mas também dados de comportamento de navegação, que podem ser explorados para engenharia social.
Detalhes técnicos
Do ponto de vista técnico, o ataque parece ter sido conduzido por meio de credenciais obtidas em um vazamento anterior, possibilitando o acesso ao painel administrativo da ASOS. Uma vez dentro, os invasores exportaram tabelas contendo campos de identificação pessoal e registros de consultas de busca. Não foram divulgados detalhes sobre vulnerabilidades específicas no código da plataforma, nem foram mencionados CVEs associados. Na prática, a falta de segmentação de privilégios dentro do ambiente interno facilitou a extração massiva de dados, evidenciando a importância de políticas de acesso restrito.
Encerramento
Até o momento, a ASOS informou que está reforçando seus mecanismos de segurança, revogando credenciais comprometidas e monitorando atividades suspeitas em contas de clientes. A empresa recomenda que os usuários alterem senhas, ativem a autenticação multifator e fiquem atentos a e‑mails que solicitem informações pessoais ou contenham links inesperados. O Malwarebytes Labs continuará acompanhando o caso e divulgará atualizações conforme novas informações surgirem.