Asos cai 13% após hackers transformarem o próprio aplicativo da varejista em outdoor de extorsão

Uma nota de resgate entregue pelo aplicativo da própria vítima

Por volta das 10h de 6 de outubro, as telas dos celulares com o aplicativo da Asos instalado acenderam com uma mensagem endereçada ao encarregado de dados da varejista e à equipe de TI↗: "Comprometemos por completo a instância da Snowflake. Negociem conosco ou vamos vazar os dados." ^{1 2} A nota trazia um link para um canal do Telegram criado naquela mesma manhã por um grupo que se autodenomina Xuanye. ^{1 3}

As ações da Asos chegaram a recuar 13,2% e fecharam em queda de 9,56%, a maior variação diária desde setembro de 2025. Na mínima do dia, a companhia perdeu cerca de £ 70 milhões em valor de mercado. ^{1 2 4 5} A Snowflake, cujo produto foi citado na nota, caiu até 3,2% no pré-mercado e cerca de 2% em Nova York. ^{2 6}

A Asos admite o ataque ao canal, não aos dados

Mais de cinco horas depois da notificação, a Asos confirmou "atividade não autorizada envolvendo plataformas de terceiros que usamos para nos comunicar com os clientes"↗, disse que nomes e dados de contato "podem ter sido acessados" e afirmou não acreditar que dados de cartão de pagamento ou senhas tenham sido afetados. ^{4 7} A Snowflake abriu uma investigação própria e relatou que "não houve comprometimento da plataforma Snowflake". ^{8 9 7}

A alegação central segue sem comprovação, de qualquer dos lados: o Xuanye não publicou nenhuma amostra dos supostos dados ⁸, a Sophos diz que o grupo nunca tinha aparecido nos fóruns e canais que monitora ⁴, e a BBC não conseguiu sequer confirmar que a Asos é cliente da Snowflake ³. O que a mensagem comprova, isso sim, é a violação do próprio canal de notificações. "Enviar uma exigência de resgate direto aos aparelhos dos consumidores é uma tática agressiva de extorsão", disse Dray Agha, da Huntress. ^{2 4}

O cronômetro de 72 horas corre contra o pico de Natal

Se o episódio for classificado como violação de dados notificável, a Asos tem 72 horas, contadas a partir do conhecimento do incidente, para notificar a ICO↗, sob pena de multas de até £ 8,7 milhões ou 2% do faturamento global. ¹⁰ E o timing pesa contra: as ações haviam acumulado alta de mais de 60% neste ano, a empresa divulgou em setembro uma previsão de lucro otimista para o exercício fiscal de 2026 e chega ao pico de vendas com 16,4 milhões de clientes ativos. ^{7 2} A companhia mantém seguro cibernético e de continuidade de negócios e diz que ainda é "cedo demais para quantificar qualquer impacto potencial sobre o desempenho comercial". ⁴

O risco que o mercado precifica é o histórico recente do Reino Unido: a Marks & Spencer precisou tirar o site do ar por semanas depois do ataque do ano passado, na onda que também atingiu a Co-op, a Harrods e a Jaguar Land Rover. ^{4 2}

A Snowflake paga por uma violação que diz nunca ter ocorrido

A comparação com 2024 rima: ao menos 165 clientes da Snowflake↗, entre eles Ticketmaster e AT&T, foram roubados por meio de credenciais furtadas — e não por qualquer falha da plataforma. ^{8 7} Toda extorsão no lado do cliente que cite a Snowflake agora move a ação da empresa — um contágio que a plataforma carrega, mas pelo qual nunca emite fatura. ⁶

Se as duas alegações de terça-feira se sustentarem, os atacantes "puseram as mãos em credenciais que abriam mais de uma porta", disse Dan Bird, da Horizon3. ⁵ Dois cronômetros correm: as 72 horas da ICO e a promessa do Xuanye de que os dados "não serão tocados por um período determinado". ⁴ Um deles vence primeiro.