Para: clientes da ASOS, quem recebeu o alerta «ASOS hacked» no celular e equipes que enviam notificações push a toda a base de clientes. Este artigo se baseia nas próprias declarações da ASOS conforme noticiadas por veículos de imprensa, e não trata de técnicas de ataque.
Em andamento: este artigo será atualizado conforme a ASOS publicar mais informações
Em 30 de outubro de 2026Ainda não se sabe
- Número de clientes afetados
- Se datas de nascimento e histórico de buscas foram levados (a ASOS não confirmou)
- Se os dados foram publicados
- Resultados da investigação
A ASOS diz que sua investigação continua e que compartilhará mais se surgirem achados significativos. Também diz que entrará em contato diretamente com os clientes se eles precisarem de mais informações, apoio ou ação.
O que os clientes da ASOS devem fazer hoje
Ignore o falso alerta
Em 6 de outubro de 2026, os clientes receberam uma notificação do aplicativo com o título «ASOS hacked» que apontava para uma conta em um aplicativo de mensagens. A ASOS disse aos clientes para desconsiderá-la e não clicar nem interagir com o link externo que ela traz.
Se ainda estiver no seu celular, apague-a. Não envie mensagem à conta que ela cita.
Confira sua conta você mesmo
A ASOS diz que seu site e seu aplicativo são seguros de usar. Abra o aplicativo que você já instalou ou digite você mesmo o endereço web. Não use um link de um texto, e-mail ou alerta.
A ASOS diz que nenhuma ação é necessária nas contas. Se você reutiliza sua senha da ASOS em outros sites, trocá-la é um bom hábito, e ativar uma segunda verificação ajuda (Como escolher a autenticação multifator).
Tenha cuidado com mensagens que citam seu nome ou suas buscas
Nomes, e-mails, telefones e endereços residenciais são o que golpistas usam para fazer uma mensagem parecer real. Se o relato da BBC estiver certo, datas de nascimento e termos de busca também podem ser usados. Uma mensagem que os use não prova que veio da ASOS.
A ASOS diz que nunca pedirá senhas, códigos de segurança ou dados de pagamento por mensagens ou ligações não solicitadas. Veja O que é phishing? e Noções básicas de segurança do smartphone.
Não interaja com quem se oferecer para resolver a questão dos dados
Não entre em contato com a conta citada no falso alerta. O Centro Nacional de Segurança Cibernética do Reino Unido ofereceu apoio à ASOS e aconselha não clicar em links suspeitos e ficar atento a mensagens que usam a notícia do vazamento (segundo a Press Association).
O que aconteceu (segundo as declarações da ASOS e reportagens)
6 out., manhã (Reino Unido)
Os clientes recebem uma notificação push não autorizada pelo aplicativo da ASOS com o título «ASOS hacked». Ela leva a uma conta em um aplicativo de mensagens. A ASOS confirma depois que uma notificação não autorizada chegou aos clientes (Press Association).6 out., 15h15 (Reino Unido)
A ASOS publica um comunicado à bolsa com o título «Update regarding cyber incident» (registro da Bolsa de Valores de Londres, 6 de outubro de 2026). Não conseguimos ler o corpo do comunicado; o conteúdo abaixo vem de reportagens sobre a declaração da ASOS.6 out.
A ASOS diz que investiga atividade não autorizada envolvendo plataformas de terceiros que usa para se comunicar com os clientes, que restringiu o acesso a essas plataformas e que trabalha com assessores especializados e as autoridades competentes. Diz que nomes e informações de contato podem ter sido acessados e que não acredita que dados de cartão de pagamento nem senhas de contas tenham sido afetados.8 out.
O BleepingComputer relata outra atualização da ASOS aos clientes: uma parte não autorizada obteve as credenciais de login de um funcionário se passando por um contato de confiança e as usou para acessar informações em certas plataformas de terceiros. No início de outubro a BBC relatou uma amostra fornecida pelos atacantes (conforme resumido pela Malwarebytes, 9 out.).
- Notificação
- Uma notificação não autorizada chegou aos clientes pelo aplicativo da ASOS em 6 de outubro de 2026
- Dados acessados
- Nomes completos, dados de contato e «certas informações não pessoais relacionadas à conta» (declaração da ASOS, conforme noticiada)
- Não afetados (crença da ASOS)
- Dados de cartão de pagamento e senhas de contas
- Causa
- As credenciais de login de um funcionário foram obtidas se passando por um contato de confiança e usadas para acessar informações em certas plataformas de terceiros (declaração da ASOS, conforme noticiada pelo BleepingComputer)
- Resposta
- Plataformas afetadas bloqueadas; investigação com especialistas externos, autoridades policiais e reguladores; medidas de segurança adicionais (declaração da ASOS, conforme noticiada)
- Serviço
- Site e aplicativo funcionando normalmente
O que se sabe e o que não se sabe
| Item | O que foi publicado | Situação |
|---|---|---|
| Nomes | Acessados | Confirmado (atualização da ASOS de 8 de out., conforme o BleepingComputer) |
| Dados de contato | Acessados | Confirmado (atualização da ASOS de 8 de out., conforme o BleepingComputer) |
| «Certas informações não pessoais relacionadas à conta» | Acessadas | Confirmado (atualização da ASOS de 8 de out., conforme o BleepingComputer) |
| Endereços residenciais, telefones, e-mails | Na amostra dos atacantes | Relatado (BBC), não confirmado pela ASOS |
| Números de cliente e datas de nascimento | Na amostra dos atacantes | Relatado (BBC), não confirmado pela ASOS |
| Buscas feitas no site da ASOS | Na amostra dos atacantes | Relatado (BBC), não confirmado pela ASOS |
| Dados de cartão de pagamento | Não se acredita que tenham sido afetados | Não incluídos (crença da ASOS) |
| Senhas de contas | Não se acredita que tenham sido afetadas | Não incluídas (crença da ASOS) |
| Número de clientes afetados | Não publicado | Não divulgado |
| Se os dados foram publicados | Os atacantes teriam ameaçado divulgá-los | Desconhecido (a ASOS não disse) |
| Uso indevido dos dados | Não relatado pela ASOS | Sem informação |
| Causa | Credenciais de funcionário obtidas por falsa identidade, usadas em plataformas de terceiros | Declarado pela ASOS; sem detalhe técnico |
| Falha nas plataformas de terceiros | O provedor da plataforma de dados em nuvem diz que não encontrou comprometimento de sua plataforma | Não estabelecido |
Um aviso separado do início do ano não faz parte disto
A imprensa relatou um caso anterior e separado de comprometimento de contas na operação da ASOS nos EUA. É um incidente diferente, e este site não os combina.
Nomes e dados de contato (ASOS)
Número de cliente e data de nascimento (relato da BBC)
Histórico de buscas no site (relato da BBC)
↓
Textos ou e-mails que cumprimentam você pelo nome
Ligações que soam como se conhecessem sua conta
Ofertas que combinam com suas buscas
↓
Feche a mensagem e abra você mesmo o aplicativo verdadeiro
Nunca dê senhas, códigos ou dados de pagamento
Não entre em contato com a conta do falso alerta
O que dados como esses tornam possível
Esta seção é geral, não um relato do que aconteceu.
- Nome mais e-mail ou telefone: uma mensagem que cumprimenta você pelo nome parece genuína. É a base habitual de falsos textos de entrega, reembolso e «sua conta».
- Data de nascimento mais número de cliente: permite que quem liga soe como alguém que conhece sua conta ao pedir que você «confirme sua identidade».
- Histórico de buscas: mostra interesses, não uma senha, mas pode fazer uma falsa oferta parecer pessoal.
Se qualquer um desses chegar a você, a atitude segura é a mesma: feche a mensagem e abra o aplicativo verdadeiro.
Para equipes que enviam notificações push ou usam plataformas de dados externas
O relato da ASOS aponta duas lições: o alerta veio por plataformas usadas para alcançar os clientes, e o ponto de partida foi uma conta de funcionário.
Confirme por um segundo canal os pedidos de um «contato de confiança»
A ASOS disse que credenciais de login foram obtidas se passando por um contato de confiança. Peça à equipe que confirme com a pessoa, por um canal separado e conhecido, pedidos incomuns de logins, redefinições ou acesso. Veja Violações que começam por credenciais em 2026.
Proteja as contas que podem enviar mensagens a todos os clientes
Limite quem pode enviar notificações a todo o aplicativo, exija autenticação multifator nessas contas e nas plataformas de dados, e alerte alguém quando uma campanha for criada fora do horário normal. Veja Como escolher a autenticação multifator.
Prepare com antecedência uma mensagem aos clientes
O The Independent, conforme resumido pela Malwarebytes, relatou que a declaração completa da ASOS veio cerca de cinco horas depois de o alerta chegar aos celulares. Tenha um aviso curto, pronto para enviar, que diga aos clientes o que ignorar.
Fontes (registros públicos)
Não conseguimos ler com nossas ferramentas o corpo do comunicado da ASOS à bolsa nem sua atualização aos clientes. Os fatos acima vêm das reportagens abaixo, que citam ou resumem as declarações da ASOS. Os itens da BBC são citados conforme outros veículos, e nós mesmos não lemos a matéria da BBC.
- ASOS PLC, «Update regarding cyber incident», London Stock Exchange RNS 8604X, 6 out. 2026 (apenas título e horário) — londonstockexchange.com
- Press Association via Irish News, «Asos apologises to customers after 'unauthorised activity'» (6 out. 2026) — irishnews.com
- TechCrunch, «ASOS confirms breach of customer data after hackers send rogue app notification» (8 out. 2026) — techcrunch.com
- BleepingComputer, «ASOS links data breach to social engineering attack, credential theft» (8 out. 2026) — bleepingcomputer.com
- Malwarebytes, «ASOS breach update» (9 out. 2026), resumindo reportagens da BBC, do Independent e do Yahoo — malwarebytes.com
Histórico de atualizações
2026-10-30: Primeira versão, com base nas declarações da ASOS de 6 e 8 de outubro conforme noticiadas pela Press Association, TechCrunch, BleepingComputer e Malwarebytes.
Leia em seguida
- O roubo de credenciais como porta de entrada: Violações que começam por credenciais em 2026
- Defesa contra falsa identidade: O que é phishing? / Noções básicas de segurança do smartphone
- Para operadores: Como escolher a autenticação multifator
- Outros casos de 2026: Vazamentos de dados e ciberataques de 2026