Asos confirma filtración de datos tras notificación push fraudulenta

Qué ha ocurrido

Asos ha confirmado que atacantes accedieron a datos de sus clientes después de utilizar la propia aplicación móvil de la compañía para enviar una notificación push fraudulenta, en la que afirmaban que el almacenamiento en la nube de la empresa había sido comprometido. El incidente permitió a los hackers tomar la iniciativa de la comunicación pública antes de que Asos pudiera emitir su propia versión de los hechos.

Según lo reportado, el ataque no se limitó a una intrusión silenciosa: los responsables utilizaron un canal propio de la marca, pensado para comunicarse con millones de usuarios, como vector para anunciar la brecha directamente a los clientes. Asos ha confirmado posteriormente el acceso no autorizado a datos de clientes, aunque el alcance exacto de la información afectada no se detalla en la información disponible hasta el momento.

Por qué importa

El episodio ilustra un riesgo que va más allá de la ciberseguridad técnica: cuando un atacante controla un canal de confianza del cliente —como las notificaciones push de una app oficial—, también controla, al menos temporalmente, la narrativa de la crisis. Para equipos de experiencia y comunicación, esto redefine qué significa "estar preparado" ante un incidente: no basta con proteger los datos, también hay que proteger la credibilidad del canal por el que la marca habla con sus usuarios.

Para los responsables de transformación digital y de producto, el caso subraya la necesidad de tratar los canales propios (apps, notificaciones, correos transaccionales) como superficies de riesgo reputacional de primer orden, con planes de contingencia específicos para el escenario en que ese mismo canal sea secuestrado por un tercero.

La visión de Renascence

Lo más revelador de este incidente no es la brecha en sí, sino la pérdida de control sobre el momento y el tono de la divulgación. En experiencia de cliente, gestionar bien una crisis depende tanto de la velocidad como de quién cuenta la historia primero.

Cuando el atacante se convierte en el primer canal oficial de comunicación con tus clientes, el daño ya no es solo técnico: es de confianza. Las marcas deberían auditar no solo qué datos protegen, sino qué canales de voz directa con el cliente podrían ser secuestrados, y tener guiones de respuesta ya redactados para ese escenario exacto, de modo que la correción —y no el silencio reactivo— sea lo primero que vea el usuario.