Incidente de segurança em destaque de novembro: o que o ataque à ASOS nos ensina sobre a confiança

O que aconteceu?

Imagina abrir a tua aplicação de compras favorita e veres uma notificação a dizer que a empresa foi alvo de um ataque informático. Só que a mensagem não veio da empresa, foi enviada pelos próprios hackers.

Foi exatamente isso que aconteceu aos os clientes da ASOS a 6 de outubro de 2026, quando os cibercriminosos usaram o próprio sistema de notificações da aplicação da loja para anunciar que tinham invadido os seus sistemas.

A notificação causou preocupação imediata e, posteriormente, a ASOS confirmou que um terceiro não autorizado tinha acedido às informações dos clientes. Inicialmente, a empresa afirmou que alguns dados pessoais básicos, incluindo nomes e informações de contacto, poderiam ter sido afetados.

Mas, à medida que a investigação avançava, o quadro tornou-se mais preocupante. Depois de os criminosos terem contactado a BBC News com uma amostra da informação roubada, a ASOS confirmou que tinham sido roubados perfis de clientes mais detalhados. Segundo a BBC, a informação roubada incluía nomes, moradas, números de telefone, endereços de e-mail, números de cliente e datas de nascimento. Até as pesquisas de compras dos clientes estavam visíveis nos dados.

A ASOS ainda não confirmou exatamente quantos clientes foram afetados, embora a violação possa envolver potencialmente milhões de pessoas. A empresa afirmou que não acredita que tenham sido acedidas informações de cartões de pagamento ou palavras-passe de contas e tranquilizou os clientes, garantindo que o seu site e a sua aplicação continuam a ser seguros de usar.

Então, como é que os atacantes conseguiram entrar? Segundo a ASOS, os criminosos fizeram-se passar por um contacto de confiança e convenceram um funcionário a revelar as suas credenciais de acesso. Essas credenciais deram então aos atacantes acesso a um serviço que continha informações dos clientes.

É isso que torna este incidente particularmente interessante. Os atacantes conseguiram abusar da confiança em dois momentos diferentes: primeiro, para obter acesso através de um colaborador e, depois, utilizando um canal de comunicação legítimo para contactar diretamente os clientes.

Como uma falsificação de identidade convincente abriu a porta

A maioria dos funcionários não passaria deliberadamente os seus dados de acesso a um cibercriminoso, mas quando alguém parece ser um colega de verdade ou um contacto de confiança, um pedido inesperado pode parecer perfeitamente razoável.

É esse o problema da engenharia social: os atacantes nem sempre precisam de encontrar uma falha técnica quando conseguem convencer alguém com acesso legítimo a fazer algo em nome deles.

No caso da ASOS, parece que os atacantes conseguiram entrar ao fazerem-se passar por alguém em quem o funcionário achava que podia confiar. Não sabemos todos os detalhes dessa interação, mas sabemos o resultado: os atacantes conseguiram credenciais válidas e usaram-nas para aceder às informações dos clientes.

É fácil olhar para um incidente como este e perguntar-te por que é que alguém partilharia os seus dados de acesso, mas os atacantes criam deliberadamente situações que fazem com que pedidos invulgares pareçam normais, especialmente quando se fazem passar por alguém conhecido ou que ocupa uma posição de autoridade.

Para um funcionário que está a tentar dar conta de um dia de trabalho agitado, um pedido convincente de um suposto colega pode não suscitar suspeitas de imediato.

É por isso que a sensibilização para a segurança tem de ir além de dizer às pessoas para manterem as suas palavras-passe em segurança. Os colaboradores precisam de perceber como funciona a suplantação de identidade, reconhecer quando um pedido merece uma análise mais atenta e sentir-se à vontade para verificar a identidade de alguém antes de partilharem informações confidenciais.

Quando a mensagem vem de uma fonte de confiança

A informação roubada dos clientes é, obviamente, uma grande preocupação, mas há outro aspeto desta violação que merece atenção.

Os hackers conseguiram enviar uma notificação através da aplicação oficial da ASOS. Quando aparece uma notificação de uma aplicação que já descarregaste e usas há anos, provavelmente não te dás ao trabalho de questionar quem a enviou; simplesmente assumis que veio da empresa responsável pela aplicação. Afinal, elas chegam através de um serviço que já descarregámos e no qual decidimos confiar.

Neste caso, os criminosos aproveitaram essa familiaridade para apresentar a sua mensagem diretamente aos clientes da ASOS.

É um exemplo interessante de como a confiança pode ser explorada para além do habitual e-mail de phishing. Um atacante não precisa necessariamente de criar um site falso convincente ou falsificar um endereço de e-mail se já tiver obtido acesso a um sistema de comunicação genuíno.

E embora a notificação da ASOS tenha anunciado a violação, em vez de se fazer passar por uma mensagem normal de apoio ao cliente, vale a pena pensar nas implicações mais amplas. Se os criminosos conseguirem usar indevidamente um canal de comunicação legítimo, as pessoas podem ficar mais inclinadas a acreditar num pedido malicioso simplesmente por causa do local onde aparece.

O Centro Nacional de Cibersegurança (NCSC) alertou especificamente os clientes da ASOS para terem cuidado com links suspeitos, incluindo aqueles enviados através de notificações push.

É uma lição útil também para os funcionários. Uma mensagem que aparece num sítio que te é familiar não significa automaticamente que seja segura, especialmente se te pedir para partilhares informações ou para fazeres algo inesperado.

O que a ASOS fez bem

A ASOS viu-se numa situação invulgar, em que os criminosos acabaram por divulgar o incidente aos clientes antes de a empresa ter concluído a sua investigação.

A ASOS tomou medidas para restringir o acesso às plataformas de terceiros afetadas e recorreu a especialistas externos em cibersegurança para investigar o incidente. A empresa também confirmou que estava a colaborar com as autoridades policiais e reguladoras, mantendo os clientes a par das informações que se acredita terem sido afetadas. À medida que foram surgindo mais detalhes, atualizou o seu comunicado para explicar que tinham sido acedidos perfis de clientes mais abrangentes.

Essa distinção é importante. A descrição inicial das informações de contacto básicas não refletia a totalidade do que tinha sido roubado, e os clientes precisavam de perceber os riscos adicionais associados à exposição das suas informações pessoais.

A ASOS também tranquilizou os clientes, afirmando que não acreditava que os dados de pagamento ou as palavras-passe tivessem sido comprometidos, e alertou-os para terem cuidado com mensagens ou chamadas inesperadas que alegassem ser da loja.

É importante referir que ficou claro que nunca se pediria aos clientes que partilhassem palavras-passe, códigos de segurança ou informações de pagamento através de uma mensagem ou chamada não solicitada.

Há aqui uma lição a retirar sobre como comunicar durante uma investigação em curso. As organizações nem sempre têm todas as respostas de imediato, especialmente quando um incidente ainda está a desenrolar-se, mas manter as pessoas informadas à medida que surgem novas informações pode ajudá-las a perceber o que aconteceu e o que devem ter em atenção a seguir.

O que as organizações podem aprender

Uma das coisas mais impressionantes sobre a violação de segurança da ASOS é o tamanho dos danos que uma falsificação de identidade convincente pode potencialmente causar. Segundo consta, os atacantes começaram por convencer um funcionário a partilhar as suas credenciais de acesso. A partir daí, conseguiram aceder às informações dos clientes e usar indevidamente um canal de comunicação que milhões de pessoas normalmente associariam a um retalhista de confiança.

Isso levanta uma questão importante para as organizações: até que ponto os teus colaboradores se sentem confiantes na hora de reconhecer alguém que não é quem diz ser?

Quando estás ocupado a trabalhar, é fácil aceitar um pedido sem questionar, especialmente quando parece vir de alguém que conheces ou em quem confias. É exatamente com isso que os atacantes contam.

Os colaboradores têm de saber que não há problema nenhum em questionar esses pedidos, mesmo quando parecem vir de alguém que conhecem. Verificar através de um canal separado e de confiança pode ajudar a determinar se um pedido é genuíno antes de qualquer informação sensível ser partilhada.

Este incidente também mostra porque é que a sensibilização para a segurança tem de acompanhar as formas como os criminosos comunicam. Os e-mails de phishing continuam a ser uma grande preocupação, mas os funcionários também podem deparar-se com pedidos suspeitos através de plataformas de mensagens no local de trabalho, chamadas telefónicas e outros canais habituais.

O aviso do NCSC na sequência da violação de segurança da ASOS reforça essa ideia. Os clientes foram aconselhados a estar atentos a fraudes, a evitar links suspeitos e a rever a segurança das suas contas, tendo em conta que as comunicações maliciosas podem surgir algum tempo depois do incidente inicial.

E quando algo parecer mesmo errado, os funcionários devem saber exatamente como comunicar o caso. Uma comunicação rápida sobre um pedido invulgar pode dar às equipas de segurança a oportunidade de investigar antes que um atacante consiga avançar mais.

No fim de contas, as pessoas precisam de se sentir à vontade para questionar pedidos que não pareçam totalmente corretos, independentemente de quem pareça estar a fazê-los. Quanto mais os colaboradores se familiarizarem com as táticas que os atacantes usam, melhor preparados estarão quando se depararem com uma tentativa convincente de falsificação de identidade.

Ajuda os colaboradores a reconhecerem a pessoa por trás da mensagem

Quando um atacante se faz passar de forma convincente por alguém em quem um colaborador confia, até mesmo um simples pedido pode tornar-se um sério risco de segurança.

A MetaCompliance ajuda as organizações a preparar os colaboradores para estas situações através de formação de sensibilização para a segurança que explica como funciona a engenharia social e ajuda as pessoas a reconhecerem as táticas que os criminosos usam para ganhar a sua confiança.

As nossas simulações avançadas de phishing dão aos colaboradores a oportunidade de praticar a resposta a ameaças realistas, ajudando-os a ganharem mais confiança na identificação de pedidos suspeitos. Uma formação de acompanhamento adequada pode, depois, reforçar os sinais de alerta que lhes escaparam e promover comportamentos de segurança mais sólidos ao longo do tempo.

Ao tornar a formação de sensibilização relevante para as situações com que os colaboradores se deparam, as organizações podem ajudar as pessoas a ganhar confiança para parar, analisar e verificar antes de responderem a um pedido inesperado.

Entra em contacto connosco para descobrires como a MetaCompliance pode ajudar a tua organização a criar defesas mais fortes contra a engenharia social.