ASOS investiga una notificación no autorizada y un posible acceso a datos de clientes

El 6 de octubre de 2026, clientes de ASOS recibieron en la aplicación de la empresa una notificación no autorizada con el encabezado «ASOS HACKED». El mensaje afirmaba que los remitentes habían comprometido una instancia de Snowflake y amenazaba con filtrar información. La compañía confirmó que el aviso se había enviado y que investigaba actividad no autorizada en plataformas de terceros utilizadas para comunicarse con sus clientes.

La aparición del mensaje en un canal legítimo de la marca distingue el incidente de una amenaza publicada únicamente en redes sociales: muestra que se utilizó sin autorización una vía de comunicación dirigida a clientes. Sin embargo, no demuestra por sí sola que los remitentes accedieran a Snowflake ni permite establecer qué sistemas o datos pudieron quedar expuestos.

Qué ha confirmado la empresa y qué sigue sin saberse

ASOS indicó que podrían haberse consultado datos personales, incluidos nombres y datos de contacto. Según la información disponible, la empresa no cree que se hayan visto afectados los datos de tarjetas de pago ni las contraseñas de las cuentas. También señaló que restringió el acceso a las plataformas de notificación y que trabaja con especialistas internos y externos y con las autoridades pertinentes. Su sitio web y su aplicación seguían operativos.

El 9 de octubre, Malwarebytes publicó una actualización que informa del robo de datos de clientes, incluidas búsquedas de compras. Ese dato amplía lo que se conoce sobre la posible información afectada, pero la actualización no precisa públicamente el volumen de datos ni cuántas personas estarían afectadas. Tampoco confirma que la instancia de Snowflake mencionada en el aviso fuera vulnerada o cómo se produjo el acceso. Las referencias a Snowflake y a un grupo que se atribuyó el mensaje proceden de los propios remitentes; no constituyen una verificación independiente de su autoría o de todas sus afirmaciones.

Un incidente que pone el foco en los proveedores tecnológicos

La investigación se centra en plataformas de terceros que ASOS emplea para comunicarse con sus clientes. El caso subraya un reto operativo para las empresas: una incidencia en herramientas externas puede afectar a canales que los usuarios identifican como propios de la marca. Aun así, los datos publicados no establecen cómo se obtuvo el acceso ni si la actividad se originó en un proveedor concreto.

Para las organizaciones, la distinción importa: el uso indebido de un canal de notificaciones está confirmado y Malwarebytes informa posteriormente del robo de datos de clientes, incluidas búsquedas de compras. Siguen sin estar aclarados el alcance completo del incidente, la vía de acceso y la relación entre el robo informado y la supuesta intrusión en Snowflake. La información disponible tampoco permite determinar la cantidad de personas afectadas ni el volumen total de datos potencialmente accesibles.

ASOS dijo que ofrecería actualizaciones si la situación cambiaba. La investigación sigue siendo relevante para aclarar los detalles que no se han hecho públicos; mientras tanto, las conclusiones sobre el alcance deben distinguir entre lo comunicado por ASOS y lo que informa la actualización de Malwarebytes.