ASOS investiga uma notificação não autorizada e um possível acesso a dados de clientes

Em 6 de outubro de 2026, clientes da ASOS receberam no aplicativo da empresa uma notificação não autorizada com o título «ASOS HACKED». A mensagem afirmava que os remetentes haviam comprometido uma instância do Snowflake e ameaçava divulgar informações. A empresa confirmou que o aviso havia sido enviado e que investigava atividades não autorizadas em plataformas de terceiros usadas para se comunicar com seus clientes.

O aparecimento da mensagem em um canal legítimo da marca diferencia o incidente de uma ameaça publicada apenas nas redes sociais: mostra que um meio de comunicação direcionado aos clientes foi usado sem autorização. No entanto, isso não demonstra, por si só, que os remetentes tenham acessado o Snowflake, nem permite determinar quais sistemas ou dados podem ter sido expostos.

O que a empresa confirmou e o que ainda não se sabe

A ASOS informou que dados pessoais podem ter sido consultados, incluindo nomes e dados de contato. De acordo com as informações disponíveis, a empresa não acredita que dados de cartões de pagamento ou senhas de contas tenham sido afetados. Também declarou que restringiu o acesso às plataformas de notificação e que trabalha com especialistas internos e externos e com as autoridades competentes. Seu site e aplicativo continuavam operacionais.

Em 9 de outubro, a Malwarebytes publicou uma atualização informando o roubo de dados de clientes, incluindo pesquisas de compras. Esse dado amplia o que se sabe sobre as possíveis informações afetadas, mas a atualização não especifica publicamente o volume de dados nem quantas pessoas teriam sido afetadas. Também não confirma que a instância do Snowflake mencionada no aviso tenha sido violada ou como ocorreu o acesso. As referências ao Snowflake e a um grupo que reivindicou a autoria da mensagem vêm dos próprios remetentes; não constituem uma verificação independente de sua autoria nem de todas as suas alegações.

Um incidente que coloca os fornecedores de tecnologia em foco

A investigação se concentra em plataformas de terceiros que a ASOS utiliza para se comunicar com seus clientes. O caso destaca um desafio operacional para as empresas: um problema em ferramentas externas pode afetar canais que os usuários identificam como pertencentes à própria marca. Ainda assim, os dados divulgados não esclarecem como o acesso foi obtido nem se a atividade teve origem em um fornecedor específico.

Para as organizações, essa distinção é importante: o uso indevido de um canal de notificações está confirmado, e a Malwarebytes informa posteriormente o roubo de dados de clientes, incluindo pesquisas de compras. O alcance completo do incidente, a via de acesso e a relação entre o roubo informado e a suposta invasão ao Snowflake continuam sem esclarecimento. As informações disponíveis também não permitem determinar o número de pessoas afetadas nem o volume total de dados potencialmente acessíveis.

A ASOS afirmou que forneceria atualizações caso a situação mudasse. A investigação continua sendo relevante para esclarecer os detalhes que não foram divulgados; enquanto isso, as conclusões sobre o alcance devem distinguir entre o que foi comunicado pela ASOS e o que informa a atualização da Malwarebytes.