Brecha de datos de ASOS: de la ingeniería social al riesgo de phishing

La brecha de datos de ASOS empezó con una sola persona. Un atacante se hizo pasar por un contacto de confianza y obtuvo las credenciales de acceso de un empleado de ASOS. Ese acceso bastó para descargar datos de clientes.

Ese acto de ingeniería social fue solo la primera etapa. Los datos robados dan ahora a los atacantes lo que necesitan para que el phishing resulte convincente.

Qué ocurrió en la brecha de datos de ASOS

En octubre de 2026, los clientes de ASOS recibieron una notificación de la aplicación que decía “ASOS ha sido hackeado”. Los atacantes la enviaron a través del propio sistema de la aplicación de ASOS a potencialmente millones de personas. El mensaje enlazaba a un canal de Telegram gestionado por los atacantes.

Ese mismo día, ASOS comunicó a los accionistas a través de la Bolsa de Londres que un tercero no autorizado envió la notificación. En esa primera declaración, ASOS dijo que los atacantes podían haber accedido a nombres, datos de contacto y otra información personal básica.

La brecha de datos de ASOS resultó ser más amplia después de que los atacantes enviaran a la BBC una muestra de lo que habían robado.

Según la BBC, los datos incluyen:

ASOS dijo que los atacantes no accedieron a datos bancarios ni a contraseñas. La empresa no respondió a las preguntas de la BBC sobre la magnitud de la brecha de datos.

Cómo condujo la ingeniería social a la brecha de datos de ASOS

Según ASOS, los atacantes se hicieron pasar por un contacto de confianza y obtuvieron las credenciales de acceso de un empleado. Usaron ese acceso para entrar en un servicio sin identificar y descargar datos de clientes.

Los atacantes afirmaron haber comprometido la instancia de Snowflake de ASOS a través de Simon AI, una plataforma creada sobre Snowflake. Snowflake ha declarado anteriormente que su plataforma no fue vulnerada.

Ni ASOS ni la BBC han dicho cómo se acercó al empleado el contacto de confianza. La ingeniería social puede producirse por teléfono, mediante aplicaciones de mensajería o por correo electrónico. Cuando los atacantes usan el correo, pueden suplantar el dominio exacto de un contacto de confianza, registrar un dominio similar o enviar desde una cuenta comprometida.

Lo que está claro es que la ingeniería social apuntó a una persona con acceso legítimo. Usar la ingeniería social para obtener credenciales válidas es eficaz porque elude las defensas perimetrales.

Este es el riesgo central de la ingeniería social. No necesita vulnerar controles técnicos. Solo necesita que una persona confíe en la solicitud equivocada.

Por qué el phishing tras una brecha de datos es el mayor riesgo

La brecha de datos de ASOS es un incidente. Los datos robados pueden alimentar muchos más intentos de ingeniería social.

La BBC informó de que los estafadores podrían usar la información para crear correos o llamadas de phishing convincentes. Rescana añade que el historial de búsquedas da a los atacantes datos de comportamiento. Esos datos aumentan el riesgo de ataques de ingeniería social dirigidos contra los clientes.

Esto es lo que hace eficaz el phishing tras una brecha de datos. Un mensaje que incluye el nombre, la dirección, la fecha de nacimiento y las búsquedas recientes de un cliente parece creíble. Los datos personales reducen la desconfianza. La ingeniería social depende de que haya poca desconfianza.

Trevor Dearing, director sénior de Infraestructura Crítica en Illumio, dijo a la BBC que cabe esperar que los estafadores hagan referencia al ataque y usen datos personales para parecer auténticos. También advirtió de que crearán urgencia, por ejemplo amenazando con bloquear una cuenta en 24 horas.

Tras la brecha de datos de ASOS, la empresa advirtió a los clientes de que desconfiaran de los mensajes o llamadas inesperados que dijeran proceder de ASOS. Afirmó que nunca pedirá contraseñas, códigos de seguridad ni datos de pago mediante un mensaje o una llamada no solicitados. Una orientación clara como esta ayuda a los clientes a reconocer el phishing.

El phishing tras una brecha de datos es un problema de marca

El phishing tras una brecha de datos pone en riesgo la marca de la organización afectada. Los clientes que caen en estafas que parecen proceder de la empresa pueden dejar de confiar en sus correos auténticos. Eso puede traducirse en menor interacción y pérdida de ingresos.

La ingeniería social tras una brecha puede llegar a los clientes de tres maneras:

Cada método necesita un control distinto. La aplicación total de DMARC mantiene fuera de las bandejas de entrada el correo no autenticado que usa el dominio de la empresa. La detección de dominios similares identifica los dominios que imitan para que los equipos de seguridad puedan actuar. La orientación a los clientes, como el aviso que emitió ASOS, ayuda a las personas a reconocer llamadas y mensajes falsos.

Proteja su marca del phishing tras una brecha de datos

Ningún control por sí solo detiene la ingeniería social. Las organizaciones sí pueden limitar la facilidad con que los atacantes vuelven su marca contra quienes confían en ella.

Bloquee el correo no autenticado de su dominio

p=reject impide que lleguen a las bandejas de entrada los correos no autenticados enviados desde su dominio. Los atacantes aún pueden intentar suplantar su dominio. Los servidores receptores que comprueban DMARC rechazan esos mensajes antes de que lleguen a los clientes.

Sendmarc ayuda a las empresas a llegar a p=reject. Un enfoque por etapas de p=none a p=reject mantiene en circulación la facturación, las notificaciones y otras comunicaciones críticas.

Identifique los dominios similares antes de que se usen

DMARC protege su propio dominio, no los dominios que lo imitan. Eso deja los dominios similares abiertos como canal de phishing tras una brecha de datos. Defensa contra dominios similares detecta los dominios diseñados para suplantar su marca, para que su equipo pueda actuar antes de que los atacantes los usen en campañas de ingeniería social.

Detecte las direcciones de correo comprometidas de los empleados

La brecha de datos de ASOS empezó con las credenciales de un empleado, obtenidas mediante ingeniería social. Las direcciones de empleados expuestas en otras brechas son un riesgo aparte. Detección de filtraciones monitoriza las direcciones de correo y las credenciales de empleados que aparecen en filtraciones de datos de terceros. Las alertas tempranas dan a su equipo tiempo para restablecer contraseñas y avisar al personal afectado.

Monitorice de forma continua sin aumentar la carga de trabajo

Los entornos grandes y distribuidos cambian constantemente. Sendmarc ejecuta en segundo plano una monitorización continua y la detección de amenazas. La protección se mantiene al día a medida que cambia su entorno. Los equipos de seguridad ya sobrecargados dedican menos tiempo a la investigación manual.

La brecha de datos de ASOS empezó con ingeniería social contra un solo empleado. Los datos robados ponen ahora a los clientes en riesgo de estafas que usan el nombre de ASOS. Los atacantes no necesitan vulnerar su empresa para suplantarla. Pruebe su dominio para ver con qué facilidad podrían hacerlo.