ASOS atribuye su brecha a un empleado engañado por alguien que suplantó a un contacto

Qué ha pasado

El 6 de octubre, usuarios de la aplicación de la tienda de moda británica ASOS recibieron una notificación inesperada: un grupo que se hace llamar «Xuanye» anunciaba que había robado datos y pedía a la empresa que le contactara por Telegram. ASOS confirmó ese mismo día que alguien había accedido sin permiso a plataformas externas que usa para comunicarse con sus clientes.

El 8 de octubre la compañía dio más detalles. Según su propia comunicación, el intruso consiguió las credenciales de un empleado suplantando a un contacto de confianza y con ellas entró en esas herramientas de terceros. ASOS afirma que quedaron expuestos nombres, datos de contacto y cierta información de cuenta, pero no datos de tarjetas ni contraseñas. No ha dicho cuántos clientes están afectados. Snowflake, la plataforma de datos que los atacantes mencionaban, ha declarado que no hubo ningún fallo ni error de configuración en su servicio.

Por qué le importa a tu empresa

Este caso no va de un servidor mal parcheado, sino de algo mucho más cotidiano. Cualquier tienda online, por pequeña que sea, usa hoy varias plataformas externas: el envío de correos y boletines, las notificaciones de la app, el CRM, la atención al cliente. Cada una tiene su usuario y su contraseña, y cada una guarda datos personales de tus clientes.

Si alguien engaña a una persona de tu equipo para que le dé esas claves, no necesita atacar tu web: entra por la puerta de servicio. Y además puede escribir a tus clientes en tu nombre, que es justo lo que pasó aquí. Para el RGPD, el responsable de esos datos sigues siendo tú, aunque estén en la herramienta de otro.

Mi opinión

Me parece un buen recordatorio de que la seguridad de una tienda online ya no está solo en la web. Las pymes suelen tener muy controlado quién entra al panel de WordPress o Shopify y, en cambio, nadie sabe cuántas personas tienen acceso a la herramienta de email marketing o a la consola de notificaciones, ni si esas cuentas tienen doble factor.

Tampoco quiero cargar la culpa en el empleado. Estos engaños están muy bien preparados y cualquiera puede caer. Lo razonable es diseñar los accesos para que un solo descuido no abra todo: doble factor que no se pueda saltar con una llamada, permisos mínimos y un procedimiento claro para verificar peticiones raras. En XEVIA solemos empezar por ese inventario de herramientas, porque casi siempre aparece alguna que nadie recordaba.

Qué hacer hoy

• Haz una lista de todas las plataformas externas que guardan datos de tus clientes o pueden enviarles mensajes en tu nombre.
• Activa el doble factor en todas ellas, a ser posible con aplicación o llave física y no por SMS.
• Revisa quién tiene acceso a cada una y retira los usuarios que ya no lo necesitan, incluidos antiguos empleados y agencias.
• Acuerda con tu equipo una regla sencilla: ninguna contraseña ni código se comparte por teléfono, chat o correo, lo pida quien lo pida.
• Comprueba que tus contratos con esos proveedores incluyen el encargo de tratamiento y cómo te avisarían de un incidente.