Para: clientes de ASOS, cualquiera que recibiera en el móvil la alerta «ASOS hacked» y equipos que envían notificaciones push a toda la base de clientes. Este artículo se basa en las propias declaraciones de ASOS según las recogen los medios, y no trata técnicas de ataque.
En desarrollo: este artículo se actualizará a medida que ASOS publique más información
A fecha del 30 de octubre de 2026Aún no se sabe
- Número de clientes afectados
- Si se llevaron fechas de nacimiento e historial de búsquedas (ASOS no lo ha confirmado)
- Si los datos se han publicado
- Resultados de la investigación
ASOS dice que su investigación continúa y que compartirá más si surgen hallazgos significativos. También dice que contactará directamente con los clientes si necesitan más información, apoyo o acciones.
Qué deben hacer hoy los clientes de ASOS
Ignore la falsa alerta
El 6 de octubre de 2026, los clientes recibieron una notificación de la app titulada «ASOS hacked» que apuntaba a una cuenta de una app de mensajería. ASOS dijo a los clientes que la ignoraran y que no pulsaran ni interactuaran con el enlace externo que contenía.
Si sigue en su móvil, elimínela. No escriba a la cuenta que nombra.
Compruebe su cuenta usted mismo
ASOS dice que su sitio web y su app son seguros de usar. Abra la app que ya tiene instalada o escriba usted mismo la dirección web. No use un enlace de un SMS, un correo o una alerta.
ASOS dice que no hace falta ninguna acción en las cuentas. Si reutiliza su contraseña de ASOS en otros sitios, cambiarla es un buen hábito, y activar una segunda comprobación ayuda (Cómo elegir la autenticación multifactor).
Tenga cuidado con los mensajes que citen su nombre o sus búsquedas
Nombres, correos, teléfonos y direcciones postales son lo que los estafadores usan para que un mensaje parezca real. Si el informe de la BBC es correcto, también podrían usarse fechas de nacimiento y términos de búsqueda. Un mensaje que los use no prueba que venga de ASOS.
ASOS dice que nunca pedirá contraseñas, códigos de seguridad ni datos de pago mediante mensajes o llamadas no solicitados. Véanse ¿Qué es el phishing? y Conceptos básicos de seguridad del smartphone.
No interactúe con nadie que ofrezca ocuparse de los datos
No contacte con la cuenta nombrada en la falsa alerta. El Centro Nacional de Ciberseguridad del Reino Unido ha ofrecido apoyo a ASOS y aconseja no pulsar enlaces sospechosos y estar atento a los mensajes que aprovechan la noticia de la brecha (según informó la Press Association).
Qué pasó (según las declaraciones de ASOS y las informaciones de prensa)
6 oct., mañana (Reino Unido)
Los clientes reciben una notificación push no autorizada a través de la app de ASOS titulada «ASOS hacked». Enlaza con una cuenta de una app de mensajería. ASOS confirma después que una notificación no autorizada llegó a los clientes (Press Association).6 oct., 15:15 (Reino Unido)
ASOS publica un anuncio a la bolsa titulado «Update regarding cyber incident» (registro de la Bolsa de Londres, 6 de octubre de 2026). No pudimos leer el cuerpo del anuncio; el contenido siguiente procede de informaciones de prensa sobre la declaración de ASOS.6 oct.
ASOS dice que investiga actividad no autorizada en plataformas de terceros que usa para comunicarse con los clientes, que restringió el acceso a esas plataformas y que trabaja con asesores especializados y las autoridades pertinentes. Dice que los nombres y la información de contacto podrían haberse visto afectados y que no cree que se vieran afectados los datos de tarjetas de pago ni las contraseñas de las cuentas.8 oct.
BleepingComputer informa de otra actualización de ASOS para los clientes: una parte no autorizada obtuvo las credenciales de acceso de un empleado haciéndose pasar por un contacto de confianza y las usó para acceder a información en ciertas plataformas de terceros. A principios de octubre la BBC informó de una muestra facilitada por los atacantes (según resume Malwarebytes, 9 oct.).
- Notificación
- Una notificación no autorizada llegó a los clientes a través de la app de ASOS el 6 de octubre de 2026
- Datos a los que se accedió
- Nombres completos, datos de contacto y «cierta información no personal relacionada con la cuenta» (declaración de ASOS, según se informó)
- No afectados (creencia de ASOS)
- Datos de tarjetas de pago y contraseñas de las cuentas
- Causa
- Se obtuvieron las credenciales de acceso de un empleado haciéndose pasar por un contacto de confianza y se usaron para acceder a información en ciertas plataformas de terceros (declaración de ASOS, según informó BleepingComputer)
- Respuesta
- Plataformas afectadas bloqueadas; investigación con expertos externos, fuerzas del orden y reguladores; medidas de seguridad adicionales (declaración de ASOS, según se informó)
- Servicio
- Sitio web y app funcionan con normalidad
Qué se sabe y qué no
| Elemento | Qué se ha publicado | Estado |
|---|---|---|
| Nombres | Se accedió | Confirmado (actualización de ASOS del 8 de oct., según informó BleepingComputer) |
| Datos de contacto | Se accedió | Confirmado (actualización de ASOS del 8 de oct., según informó BleepingComputer) |
| «Cierta información no personal relacionada con la cuenta» | Se accedió | Confirmado (actualización de ASOS del 8 de oct., según informó BleepingComputer) |
| Direcciones postales, teléfonos, correos electrónicos | En la muestra de los atacantes | Informado (BBC), no confirmado por ASOS |
| Números de cliente y fechas de nacimiento | En la muestra de los atacantes | Informado (BBC), no confirmado por ASOS |
| Búsquedas hechas en el sitio web de ASOS | En la muestra de los atacantes | Informado (BBC), no confirmado por ASOS |
| Datos de tarjetas de pago | No se cree que se vieran afectados | No incluidos (creencia de ASOS) |
| Contraseñas de las cuentas | No se cree que se vieran afectadas | No incluidas (creencia de ASOS) |
| Número de clientes afectados | No publicado | No publicado |
| Si los datos se han publicado | Los atacantes, según se informó, amenazaron con divulgarlos | Se desconoce (ASOS no lo ha dicho) |
| Uso indebido de los datos | ASOS no lo ha informado | Sin información |
| Causa | Credenciales de un empleado obtenidas mediante suplantación, usadas en plataformas de terceros | Declarado por ASOS; sin detalle técnico |
| Fallo en las plataformas de terceros | El proveedor de la plataforma de datos en la nube dice que no encontró ningún compromiso de su plataforma | No establecido |
Un aviso distinto de principios de este año no forma parte de esto
La prensa ha informado de un caso anterior y distinto de compromiso de cuentas en el negocio de ASOS en EE. UU. Es un incidente diferente y este sitio no los combina.
Nombres y datos de contacto (ASOS)
Número de cliente y fecha de nacimiento (informe de la BBC)
Historial de búsquedas en el sitio web (informe de la BBC)
↓
SMS o correos que le saludan por su nombre
Llamadas que suenan como si conocieran su cuenta
Ofertas que coinciden con sus búsquedas
↓
Cierre el mensaje y abra usted mismo la app real
No dé nunca contraseñas, códigos ni datos de pago
No contacte con la cuenta de la falsa alerta
Qué hacen posible datos como estos
Esta sección es general, no un informe de lo que ha ocurrido.
- Nombre más correo o teléfono: un mensaje que le saluda por su nombre parece genuino. Es la base habitual de los falsos SMS de entrega, reembolso y «su cuenta».
- Fecha de nacimiento más número de cliente: permite que quien llama suene como alguien que conoce su cuenta cuando le pide «confirmar su identidad».
- Historial de búsquedas: muestra intereses, no una contraseña, pero puede hacer que una falsa oferta parezca personal.
Si alguno de estos le llega, la salida segura es la misma: cierre el mensaje y abra la app real.
Para equipos que envían notificaciones push o usan plataformas de datos externas
El relato de ASOS apunta a dos lecciones: la alerta llegó a través de plataformas usadas para llegar a los clientes, y el punto de partida fue una cuenta de empleado.
Compruebe por un segundo canal las peticiones de un «contacto de confianza»
ASOS dijo que se obtuvieron credenciales de acceso haciéndose pasar por un contacto de confianza. Pida al personal que confirme con la persona, por un canal distinto y conocido, las peticiones inusuales de credenciales, restablecimientos o acceso. Véase Brechas que empiezan por las credenciales en 2026.
Proteja las cuentas que pueden enviar mensajes a todos los clientes
Limite quién puede enviar notificaciones a toda la app, exija autenticación multifactor en esas cuentas y en las plataformas de datos, y avise a alguien cuando se cree una campaña fuera del horario normal. Véase Cómo elegir la autenticación multifactor.
Prepare un mensaje para los clientes con antelación
The Independent, según resume Malwarebytes, informó de que la declaración completa de ASOS llegó unas cinco horas después de que la alerta llegara a los móviles. Tenga preparado un aviso breve, listo para enviar, que diga a los clientes qué deben ignorar.
Fuentes (registros públicos)
No pudimos leer con nuestras herramientas el cuerpo del anuncio de ASOS a la bolsa ni su actualización para los clientes. Los hechos anteriores proceden de los informes siguientes, que citan o resumen las declaraciones de ASOS. Los datos de la BBC se citan según otros medios, y no hemos leído nosotros el artículo de la BBC.
- ASOS PLC, «Update regarding cyber incident», London Stock Exchange RNS 8604X, 6 oct. 2026 (solo título y hora) — londonstockexchange.com
- Press Association vía Irish News, «Asos apologises to customers after 'unauthorised activity'» (6 oct. 2026) — irishnews.com
- TechCrunch, «ASOS confirms breach of customer data after hackers send rogue app notification» (8 oct. 2026) — techcrunch.com
- BleepingComputer, «ASOS links data breach to social engineering attack, credential theft» (8 oct. 2026) — bleepingcomputer.com
- Malwarebytes, «ASOS breach update» (9 oct. 2026), que resume informes de la BBC, The Independent y Yahoo — malwarebytes.com
Historial de actualizaciones
2026-10-30: Primera versión, basada en las declaraciones de ASOS del 6 y 8 de octubre según las recogieron Press Association, TechCrunch, BleepingComputer y Malwarebytes.
Lectura recomendada
- El robo de credenciales como vía de entrada: Brechas que empiezan por las credenciales en 2026
- Defensa frente a la suplantación: ¿Qué es el phishing? / Conceptos básicos de seguridad del smartphone
- Para operadores: Cómo elegir la autenticación multifactor
- Otros casos de 2026: Filtraciones de datos y ciberataques de 2026