El hackeo de ASOS ha pillado por sorpresa a sus clientes. A principios de octubre, miles de personas abrieron la app de la tienda y se encontraron un mensaje inesperado. No era una oferta ni un aviso de envío. Era una notificación de los propios ciberdelincuentes anunciando que habían robado los datos de la tienda y amenazando con publicarlos.
Si alguna vez has comprado en ASOS, esto te interesa. Y si no, también: tus datos están en decenas de tiendas online, y lo que ha pasado aquí puede repetirse en cualquiera de ellas.
Qué ha pasado en el hackeo de ASOS
La semana del 6 de octubre, usuarios de la app de ASOS recibieron una notificación push que no había enviado la empresa. Los atacantes, que se hacen llamar Xuanye Group, decían haber robado los datos de la compañía y terminaban con una amenaza: o negociáis con nosotros, o lo filtramos. Lo contó TechCrunch.
Poco después, ASOS confirmó el robo. Según la propia empresa, alguien se hizo pasar por un contacto de confianza de un empleado y consiguió sus claves de acceso. Con ellas entró en los sistemas donde se guardaba información de los clientes (BleepingComputer).
¿Qué datos se han robado? ASOS habla de nombres y datos de contacto. Según una muestra que los atacantes enviaron a la BBC, recogida por Malwarebytes, también hay direcciones, teléfonos, correos electrónicos, fechas de nacimiento y hasta las búsquedas que los clientes hacían en la web.
¿Qué no se ha robado? Según ASOS, ni contraseñas ni datos de tarjetas. La empresa no ha dicho cuántos clientes están afectados.
Tras el hackeo de ASOS, el verdadero peligro llega después
Que no se hayan llevado tu tarjeta no significa que estés a salvo. Con tu nombre, tu dirección, tu teléfono y lo que buscas cuando compras, un estafador ya no necesita inventarse nada. Le basta con escribirte algo creíble.
Imagina un SMS así: «Hola, Laura. Tu pedido de las zapatillas que buscaste ayer está retenido. Confirma tu dirección en Calle Mayor, 12 para recibirlo.» Si de verdad buscaste unas zapatillas y esa es tu dirección, ¿por qué ibas a desconfiar?
No es ciencia ficción. Este verano, la Guardia Civil y el INCIBE alertaron de una estafa por WhatsApp que suplanta a hoteles usando los datos reales de la reserva de la víctima: el nombre del hotel, las fechas y su nombre. El mecanismo es el mismo. Primero se filtran los datos y después llega el engaño a medida.
Por eso, tras el hackeo de ASOS, lo importante no es lo que ya ha pasado, sino lo que puede llegarte a ti en las próximas semanas.
El mismo truco que usaron con ASOS lo pueden usar contigo
Fíjate en cómo empezó todo: alguien se hizo pasar por una persona de confianza. No hubo un superordenador ni un ataque de película, solo un engaño bien contado.
Es exactamente lo que hacen con nosotros cada día: el falso mensaje de tu banco, el «hijo» que ha cambiado de móvil y necesita un Bizum, el repartidor que pide confirmar un pago o el hotel que te escribe por WhatsApp. Cuanto más saben de ti, más convincente es el engaño.
Qué hacer si eres cliente (de ASOS o de cualquier tienda online)
- Desconfía de los mensajes «personalizados». Que un correo, SMS o WhatsApp sepa tu nombre o lo que has comprado no demuestra que sea real. Hoy es precisamente lo que usan los estafadores.
- No pinches en enlaces de mensajes inesperados. Si te hablan de un pedido, un reembolso o un problema con tu cuenta, entra tú directamente en la app o en la web oficial.
- Nunca des contraseñas, códigos ni datos de tarjeta por mensaje o llamada. ASOS ya ha dicho que nunca los pedirá así. Ninguna empresa seria lo hace.
- Cambia tu contraseña si la usas en otros sitios y activa la verificación en dos pasos allí donde puedas. Te explicamos por qué es tan importante en Tu contraseña fue hackeada hace meses. Solo que aún no lo sabes.
- Comprueba si tu correo aparece en filtraciones conocidas. Puedes hacerlo gratis en Have I Been Pwned. Ten en cuenta que las filtraciones más recientes pueden tardar en aparecer.
- Revisa los movimientos de tu banco durante las próximas semanas y avisa a tu entidad si ves algo raro.
- Avisa a los tuyos. Si en casa compráis en la misma tienda, cuéntaselo a tu familia, sobre todo a los mayores y a los adolescentes, que suelen ser el blanco favorito de estos mensajes.
¿Y si ya has picado?
- Si diste datos de tu tarjeta: llama a tu banco cuanto antes para bloquearla.
- Si diste una contraseña: cámbiala de inmediato en esa web y en cualquier otra donde la uses.
- Guarda pruebas: capturas del mensaje, número o remitente y enlaces.
- Denúncialo ante la Policía Nacional o la Guardia Civil.
- Pide ayuda: el INCIBE tiene una línea gratuita y confidencial de ayuda en ciberseguridad, el 017.
Lo que nos enseña el hackeo de ASOS: lo que no puedes controlar… y lo que sí
No puedes evitar que una tienda, un banco o una app sufra una filtración con tus datos. Lo que sí puedes hacer es enterarte a tiempo, reconocer el engaño cuando llegue y saber cómo reaccionar.
Protege tus datos sin volverte un experto
Con los planes de Nawiki proteges las cuentas y los datos personales de toda la familia (documentos, tarjetas, correo y teléfono), recibes un informe de tu presencia en internet y tienes soporte tecnológico 24/7 para cuando te llegue un mensaje y no sepas si es real. Así no tienes que estar pendiente de cada filtración: nosotros lo vigilamos por ti.
