La filtración de ASOS pone de manifiesto los riesgos de los servicios SaaS orientados al cliente

El mi­no­ris­ta bri­tá­ni­co ASOS su­frió un ci­ber­ata­que per­pe­tra­do por un actor au­to­de­no­mi­na­do "Xuan­ye Group", quien anun­ció la vul­ne­ra­ción tras com­pro­me­ter las cre­den­cia­les de un solo em­plea­do me­dian­te la su­plan­ta­ción de un con­tac­to de con­fian­za. A par­tir de ese único ac­ce­so ini­cial, los ata­can­tes lo­gra­ron pe­ne­trar pro­fun­da­men­te en los sis­te­mas cor­po­ra­ti­vos de la em­pre­sa, al­can­zan­do pla­ta­for­mas de mar­ke­ting y de no­ti­fi­ca­cio­nes de la apli­ca­ción móvil para en­viar men­sa­jes di­rec­ta­men­te a los usua­rios.

Según la in­for­ma­ción re­por­ta­da y los datos ad­mi­ti­dos, los ata­can­tes ob­tu­vie­ron in­for­ma­ción per­so­nal de los clien­tes, tales como nom­bres, datos de con­tac­to, di­rec­cio­nes, nú­me­ros de te­lé­fono, co­rreos elec­tró­ni­cos, fe­chas de na­ci­mien­to, iden­ti­fi­ca­cio­nes de clien­te e his­to­ria­les de bús­que­da, aun­que se in­di­có que la in­for­ma­ción de pagos no co­rría pe­li­gro. Los ata­can­tes tam­bién men­cio­na­ron el uso de una pla­ta­for­ma de mar­ke­ting ba­sa­da en la nube, y pu­bli­ca­ron men­sa­jes a tra­vés de las pro­pias no­ti­fi­ca­cio­nes de la apli­ca­ción de la com­pa­ñía afec­ta­da.

Este in­ci­den­te ex­po­ne una bre­cha de se­gu­ri­dad en las pla­ta­for­mas de mar­ke­ting y no­ti­fi­ca­cio­nes orien­ta­das al clien­te, las cua­les sue­len ser ges­tio­na­das por el área co­mer­cial de las em­pre­sas y a me­nu­do no re­ci­ben la misma aten­ción y su­per­vi­sión de se­gu­ri­dad que los sis­te­mas in­ter­nos tra­di­cio­na­les. Ex­per­tos se­ña­lan que este tipo de he­rra­mien­tas con ac­ce­sos am­plios per­mi­ten a los ata­can­tes co­mu­ni­car­se con los usua­rios su­plan­tan­do a mar­cas de con­fian­za, ge­ne­ran­do al­te­ra­cio­nes y ries­gos de ata­ques pos­te­rio­res.