L’azienda britannica di moda online Asos ha confermato di essere stata colpita da un attacco informatico che ha compromesso le informazioni di un profondo numero di utenti. L’incidente è stato scoperto martedì, ma la comunicazione al pubblico è avvenuta solo giovedì, dopo aver reperito i primi elementi di indagine. Secondo le dichiarazioni ufficiali, gli aggressori hanno avuto accesso a nomi, indirizzi email, numeri di telefono, indirizzi di spedizione e alla cronologia delle ricerche recenti effettuate sul sito.
La notizia è stata diffusa per la prima volta attraverso una push notification inviata dall’app di Asos, accompagnata da un link a un canale Telegram. Nel canale, il gruppo autodefinitosi “Xuanyewen” ha confermato il furto, aggiungendo che i dati relativi ai pagamenti e le password non sarebbero stati interessati. La scelta di avvisare gli utenti mediante la stessa piattaforma compromessa ha lasciato molti consumatori in uno stato di confusione e preoccupazione.
L’inganno al fornitore di servizi e l’accesso alle credenziali interne
Secondo le indagini, gli aggressori non hanno attaccato direttamente i server di Asos, ma hanno sfruttato una vulnerabilità legata a un partner esterno che forniva servizi alla piattaforma. Fingendosi un interlocutore affidabile, i criminali hanno convinto un dipendente di Asos a condividere le credenziali di accesso, ottenendo così il permesso di entrare nell’ambiente interno dell’azienda. Una volta dentro, hanno scaricato i database contenenti le informazioni degli utenti, senza però interferire con i sistemi di pagamento.
Questa tecnica, nota come social engineering dimostra come la sicurezza non dipenda solo dalla robustezza tecnica dei server, ma anche dalla gestione delle relazioni con fornitori terzi. La compromissione delle credenziali di un singolo dipendente è bastata per aprire la porta a una massiccia estrazione di dati, evidenziando la necessità di protocolli di verifica più stringenti per gli accessi esterni.
Tipologie di dati sottratti e possibili usi criminali
Le informazioni trafugate includono non solo i classici dati anagrafici – nome, cognome, indirizzo di casa, data di nascita e numero di telefono – ma anche dettagli più specifici legati all’interazione con il sito. Tra questi, gli hacker hanno recuperato la cronologia delle ricerche, con termini come “vintage recuperato”, “vestiti larghi glamour” e “Asos petite”. Questi dati consentono ai criminali di profilare gli utenti e di orchestrare campagne di phishing altamente personalizzate, in cui un messaggio sembra provenire da Asos ma mira a rubare password o informazioni di pagamento.
Le autorità hanno inoltre segnalato che gli aggressori hanno ottenuto numeri cliente e date di nascita, informazioni che potrebbero essere usate per ulteriori frodi di identità o per vendere i profili su mercati illegali. Tuttavia, l’azienda ha rassicurato che i dati delle carte di credito e le password non sono stati esposti, riducendo il rischio di transazioni finanziarie non autorizzate.
Risposta di Asos e consigli per gli utenti
In risposta all’accaduto, Asos ha dichiarato di aver bloccato immediatamente le piattaforme di terze parti coinvolte, tra cui Snowflake e Simon AI, e di aver avviato un’indagine con esperti di sicurezza interni ed esterni. L’azienda ha inoltre implementato nuove misure di difesa, come l’autenticazione a più fattori per gli account dei dipendenti e un monitoraggio più stringente delle interazioni con i fornitori.
Per gli utenti, il messaggio chiave è la prudenza. Asos ha sottolineato che non richiederà mai password, dati di pagamento o codici di sicurezza tramite messaggi non richiesti. Si consiglia di verificare ogni comunicazione direttamente sull’app o sul sito ufficiale, di ignorare link a canali Telegram sospetti e di segnalare eventuali email o SMS anomali. In caso di dubbio, è utile cambiare le credenziali di accesso e attivare l’autenticazione a due fattori, per ridurre le probabilità di cadere vittima di truffe mirate.
