Incidente de seguridad destacado de noviembre: lo que nos enseña el ataque a ASOS sobre la confianza

¿Qué ha ocurrido?

Imagínese que abre su aplicación de compras favorita y ve una notificación en la que se le informa de que la empresa ha sufrido un ataque informático. Solo que el mensaje no procede de la empresa, sino que lo han enviado los propios piratas informáticos.

Eso es exactamente lo que les ocurrió a los clientes de ASOS el 6 de octubre de 2026, cuando unos ciberdelincuentes utilizaron el propio sistema de notificaciones de la aplicación de la tienda para anunciar que habían comprometido sus sistemas.

La notificación suscitó una preocupación inmediata y, posteriormente, ASOS confirmó que un tercero no autorizado había accedido a la información de los clientes. En un primer momento, la empresa indicó que podrían haberse visto afectados datos personales básicos, como los nombres y la información de contacto.

Sin embargo, a medida que avanzaba la investigación, el panorama se volvió más preocupante. Después de que los delincuentes se pusieran en contacto con BBC News con una muestra de la información sustraída, ASOS confirmó que se habían sustraído perfiles de clientes más detallados. Según la BBC, la información sustraída incluía nombres, direcciones, números de teléfono, direcciones de correo electrónico, números de cliente y fechas de nacimiento. Incluso las búsquedas de productos realizadas por los clientes figuraban en los datos.

ASOS no ha confirmado exactamente cuántos clientes se han visto afectados, aunque la filtración podría afectar potencialmente a millones de personas. La empresa ha declarado que no cree que se haya accedido a la información de las tarjetas de pago ni a las contraseñas de las cuentas, y ha asegurado a los clientes que su página web y su aplicación siguen siendo seguras de usar.

Entonces, ¿cómo lograron entrar los atacantes? Según ASOS, los delincuentes se hicieron pasar por un contacto de confianza y convencieron a un empleado para que les facilitara sus credenciales de acceso. Dichas credenciales permitieron a los atacantes acceder a un servicio que contenía información de los clientes.

Eso es lo que hace que este incidente resulte especialmente interesante. Los atacantes lograron aprovecharse de la confianza en dos momentos distintos: primero, para obtener acceso a través de un empleado, y después, utilizando un canal de comunicación legítimo para dirigirse directamente a los clientes.

Cómo una suplantación de identidad convincente abrió la puerta

La mayoría de los empleados no facilitarían deliberadamente sus datos de acceso a un ciberdelincuente, pero cuando alguien parece ser un compañero de trabajo auténtico o un contacto de confianza, una solicitud inesperada puede parecer perfectamente razonable.

Ese es el problema de la ingeniería social: los atacantes no siempre necesitan encontrar una vulnerabilidad técnica cuando pueden convencer a alguien con acceso legítimo para que haga algo en su nombre.

En el incidente de ASOS, al parecer los atacantes lograron acceder al sistema haciéndose pasar por alguien en quien el empleado creía poder confiar. No conocemos todos los detalles de esa interacción, pero sí sabemos cuál fue el resultado: los atacantes obtuvieron credenciales válidas y las utilizaron para acceder a la información de los clientes.

Es fácil analizar un incidente como este y preguntarse por qué alguien compartiría sus datos de acceso, pero los atacantes crean deliberadamente situaciones que hacen que las solicitudes inusuales parezcan normales, sobre todo cuando se hacen pasar por alguien conocido o que ocupa un puesto de autoridad.

Para un empleado que intenta superar una jornada laboral ajetreada, una petición convincente por parte de un supuesto compañero de trabajo podría no suscitarle sospechas de inmediato.

Por eso, la sensibilización en materia de seguridad debe ir más allá de limitarse a indicar a las personas que mantengan sus contraseñas a buen recaudo. Los empleados deben comprender cómo funciona la suplantación de identidad, saber reconocer cuándo una solicitud merece un análisis más detallado y sentirse cómodos a la hora de verificar la identidad de alguien antes de compartir información confidencial.

Cuando el mensaje procede de una fuente fiable

La sustracción de datos de los clientes es, sin duda, un motivo de gran preocupación, pero hay otro aspecto de esta filtración que merece nuestra atención.

Los piratas informáticos lograron enviar una notificación a través de la aplicación original de ASOS. Cuando aparece una notificación de una aplicación que ha descargado y utilizado durante años, probablemente no se pare a preguntarse quién la ha enviado, sino que simplemente da por hecho que procede de la empresa creadora de la aplicación. Al fin y al cabo, llegan a través de un servicio que ya hemos descargado y en el que hemos decidido confiar.

En este caso, los delincuentes aprovecharon esa familiaridad para hacer llegar su mensaje directamente a los clientes de ASOS.

Se trata de un ejemplo interesante de cómo se puede abusar de la confianza más allá de los habituales correos electrónicos de phishing. Un atacante no necesita necesariamente crear una página web falsa convincente ni suplantar una dirección de correo electrónico si ha conseguido acceder a un sistema de comunicación auténtico.

Y aunque la notificación de ASOS anunciaba la filtración de datos en lugar de hacerse pasar por un mensaje habitual de atención al cliente, conviene tener en cuenta las implicaciones más amplias. Si los delincuentes pueden hacer un uso indebido de un canal de comunicación legítimo, es posible que las personas se muestren más propensas a creer una solicitud maliciosa simplemente por el lugar en el que aparece.

El Centro Nacional de Ciberseguridad (NCSC) ha advertido expresamente a los clientes de ASOS que tengan cuidado con los enlaces sospechosos, incluidos los que se envían a través de notificaciones push.

Es una lección útil también para los empleados. El hecho de que un mensaje aparezca en un lugar conocido no significa automáticamente que sea seguro, sobre todo si le pide que facilite información o que realice una acción inesperada.

Lo que ASOS hizo bien

ASOS se enfrentó a una situación inusual, ya que los delincuentes, en la práctica, dieron a conocer el incidente a los clientes antes de que la empresa hubiera concluido su investigación.

ASOS tomó medidas para restringir el acceso a las plataformas de terceros afectadas y recurrió a expertos externos en ciberseguridad para investigar el incidente. La empresa minorista también confirmó que estaba colaborando con las fuerzas del orden y los organismos reguladores, al tiempo que mantenía informados a los clientes sobre los datos que se creía que se habían visto afectados. A medida que se conocían más detalles, actualizó sus comunicados para explicar que se había accedido a perfiles de clientes más completos.

Esa distinción es importante. La descripción inicial de la información de contacto básica no reflejaba el alcance total de lo que se había sustraído, y los clientes necesitaban comprender los riesgos adicionales asociados a la exposición de sus datos personales.

ASOS también tranquilizó a los clientes asegurándoles que no creía que se hubieran visto comprometidos los datos de pago ni las contraseñas, y les advirtió que se mantuvieran alerta ante mensajes o llamadas inesperadas que afirmaran proceder de la tienda.

Es importante destacar que dejó claro que nunca se pediría a los clientes que facilitaran contraseñas, códigos de seguridad o datos de pago a través de un mensaje o una llamada no solicitados.

De todo esto se desprende una lección sobre cómo comunicarse durante una investigación en curso. Las organizaciones no siempre dispondrán de todas las respuestas de inmediato, sobre todo cuando un incidente aún se está desarrollando, pero mantener a las personas informadas a medida que se dispone de nueva información puede ayudarles a comprender lo que ha sucedido y a qué deben prestar atención a continuación.

Lo que pueden aprender las organizaciones

Uno de los aspectos más llamativos de la filtración de ASOS es el alcance del daño que puede llegar a causar una suplantación de identidad convincente. Según se ha informado, los atacantes comenzaron convenciendo a un empleado para que les facilitara sus credenciales de acceso. A partir de ahí, pudieron acceder a la información de los clientes y hacer un uso indebido de un canal de comunicación que millones de personas suelen asociar con un minorista de confianza.

Esto plantea una cuestión importante para las organizaciones: ¿hasta qué punto tienen confianza sus empleados a la hora de detectar a alguien que no es quien dice ser?

Cuando está usted ocupado con su trabajo, es fácil aceptar una solicitud tal cual, sobre todo cuando parece proceder de alguien a quien conoce o en quien confía. Eso es precisamente con lo que cuentan los atacantes.

Los empleados deben saber que no pasa nada por cuestionar esas solicitudes, incluso cuando parezcan proceder de alguien a quien conocen. Verificar la información a través de un canal independiente y de confianza puede ayudar a determinar si una solicitud es auténtica antes de que se facilite cualquier información confidencial.

El incidente también pone de manifiesto por qué la concienciación en materia de seguridad debe adaptarse a las formas de comunicación de los delincuentes. Los correos electrónicos de phishing siguen siendo un motivo de gran preocupación, pero los empleados también pueden encontrarse con solicitudes sospechosas a través de plataformas de mensajería del lugar de trabajo, llamadas telefónicas y otros canales habituales.

Las recomendaciones del NCSC tras la filtración de datos de ASOS refuerzan este punto. Se ha instado a los clientes a que estén atentos a las estafas, eviten los enlaces sospechosos y revisen la seguridad de sus cuentas, teniendo en cuenta que las comunicaciones maliciosas pueden llegar algún tiempo después del incidente original.

Y cuando algo parezca sospechoso, los empleados deben saber exactamente cómo comunicarlo. Una notificación rápida sobre una solicitud inusual podría brindar a los equipos de seguridad la oportunidad de investigar antes de que el atacante vaya más allá.

En definitiva, es necesario que las personas se sientan seguras a la hora de cuestionar aquellas solicitudes que no les parezcan del todo correctas, independientemente de quién parezca estar realizándolas. Cuanto más familiarizados estén los empleados con las tácticas que emplean los atacantes, mejor preparados estarán cuando se enfrenten a un intento de suplantación de identidad convincente.

Ayude a los empleados a reconocer a la persona que hay detrás del mensaje

Cuando un atacante se hace pasar de forma convincente por alguien en quien confía un empleado, incluso una simple solicitud puede convertirse en un grave riesgo para la seguridad.

MetaCompliance ayuda a las organizaciones a preparar a sus empleados para estas situaciones mediante una cursos de sensibilización en materia de seguridad que explica cómo funciona la ingeniería social y ayuda a las personas a reconocer las tácticas que utilizan los delincuentes para ganarse su confianza.

Nuestras simulaciones avanzadas de phishing ofrecen a los empleados la oportunidad de practicar cómo responder ante amenazas realistas, lo que les ayuda a sentirse más seguros a la hora de identificar solicitudes sospechosas. A continuación, una formación de seguimiento adecuada puede reforzar los indicios de alerta que se les hayan pasado por alto y fomentar hábitos de seguridad más sólidos con el paso del tiempo.

Al adaptar la formación en materia de sensibilización a las situaciones con las que se enfrentan los empleados, las organizaciones pueden ayudar a las personas a desarrollar la confianza necesaria para detenerse, analizar y verificar antes de responder a una solicitud inesperada.

Póngase en contacto con nosotros para descubrir cómo MetaCompliance puede ayudar a su organización a reforzar sus defensas frente a la ingeniería social.