ISO 27001 en e-commerce: las lecciones del hackeo a ASOS que ninguna tienda online debería ignorar
ISO 27001 en E-commerce: Lecciones del Hackeo a ASOS 2026 .ASOS confirmó una brecha de datos tras un ataque de ingeniería social a un empleado. Qué exige ISO 27001 a una tienda online sobre autenticación, proveedores externos y respuesta a incidentes para evitar un caso igual.
El 6 de octubre de 2026, miles de clientes de ASOS, el gigante británico de moda online con 17 millones de clientes, recibieron una notificación a través de la propia aplicación de la tienda. No era una promoción ni un aviso de despacho: era un mensaje de un grupo que se identificó como Xuanye Group, dirigido formalmente al oficial de protección de datos y al equipo de TI de ASOS, en el que afirmaban haber comprometido por completo los datos de la compañía y exigían que la empresa los contactara por Telegram antes de filtrar la información robada. Muchos clientes, al no entender qué estaba pasando, publicaron capturas del mensaje en redes sociales antes de que ASOS emitiera cualquier comunicado oficial.
Dos días después, el 8 de octubre, ASOS confirmó el incidente en un comunicado a la Bolsa de Londres y explicó el origen: un atacante obtuvo acceso a la cuenta de un empleado haciéndose pasar por un contacto de confianza, y usó esas credenciales para acceder a información alojada en plataformas de terceros que la empresa utiliza para operar. Según reportó BleepingComputer, una de esas plataformas sería una instancia de Snowflake, el mismo tipo de servicio de almacenamiento de datos en la nube que estuvo en el centro de la ola de brechas que golpeó a Ticketmaster, AT&T y Santander en 2024, todas ellas originadas por cuentas sin autenticación multifactor. ASOS no confirmó si la cuenta comprometida tenía o no ese control activado.
Los datos expuestos incluyen nombres completos, direcciones, teléfonos, correos electrónicos y notas de perfil del cliente, como historiales de búsqueda en el sitio. ASOS aclaró que no se accedió a datos de pago ni a contraseñas, y que el sitio y la aplicación seguían siendo seguros de usar. No se conoce aún cuántos de los 17 millones de clientes fueron afectados.
Qué pasó, en términos simples
El punto de entrada no fue una vulnerabilidad en el sitio web de ASOS ni en su aplicación. Fue una persona. Alguien, haciéndose pasar por un contacto legítimo (un proveedor, un colega, un superior, el reporte no precisa el canal exacto), convenció a un empleado de entregar sus credenciales de acceso. Con esas credenciales, el atacante no necesitó explotar ningún sistema propio de ASOS: entró directamente a las plataformas externas donde la empresa ya almacenaba los datos de sus clientes, y desde ahí, aparentemente, también logró llegar al sistema de notificaciones push de la aplicación para enviar el mensaje de extorsión directamente a los teléfonos de los usuarios.
Es el mismo patrón, con una variante, que ya vimos este año en el ataque a la firma fintech Betterment, donde los atacantes usaron una plataforma de marketing de terceros para enviar a los clientes una notificación falsa sobre una estafa de criptomonedas. En ambos casos, el atacante no robó datos de un sistema interno fuertemente protegido: usó un canal de comunicación legítimo de la propia empresa, uno que los clientes confían por definición, para ejecutar la segunda fase del ataque.
Por qué el e-commerce es un blanco especialmente cómodo para este tipo de ataque
El comercio electrónico combina tres condiciones que lo hacen distinto de otras industrias frente a este tipo de incidente.
Opera con equipos grandes y distribuidos, con alta rotación de personal de atención al cliente, marketing y soporte. Cuantas más personas tienen acceso legítimo a sistemas con datos de clientes, mayor es la superficie disponible para un ataque de ingeniería social. No se necesita vulnerar a un ejecutivo senior: basta con un empleado de nivel operativo con las credenciales correctas.
Depende de una cadena larga de plataformas de terceros para funcionar. Una tienda online típica no almacena todos los datos de sus clientes en un solo sistema propio: los reparte entre el proveedor de CRM, la plataforma de email marketing, el almacén de datos en la nube, el proveedor de notificaciones push, y varios más. Cada uno de esos proveedores es, en la práctica, una puerta adicional, y cada empleado con acceso a cualquiera de ellos es un blanco potencial.
Tiene un canal directo y masivo hacia el cliente final, pensado para generar confianza inmediata. Una notificación push de la app de una tienda donde el cliente ya compró antes se abre y se cree casi sin pensarlo. Eso es exactamente lo que ASOS perdió por unas horas el 6 de octubre: el control sobre su propio canal de confianza con el cliente.
Qué exige ISO 27001 frente a este tipo de ataque
El Anexo A de ISO/IEC 27001:2022 cubre, de forma puntual, cada etapa de lo que falló en el caso ASOS.
A.6.3, concienciación, educación y formación en seguridad de la información. Es el control de fondo. Un ataque de ingeniería social no se detiene con un firewall: se detiene cuando la persona que recibe el contacto fraudulento reconoce las señales y lo reporta antes de entregar sus credenciales. La norma exige que esta formación sea periódica y que incluya ejercicios prácticos de simulación, no solo una capacitación anual en video.
A.5.17, información de autenticación, y A.8.5, autenticación segura. Exigen que el acceso a sistemas con información sensible, incluidas las plataformas de terceros, use métodos de autenticación robustos, en particular autenticación multifactor. Es, literalmente, el control que faltó en la ola de brechas de Snowflake de 2024, y la pregunta abierta en el caso ASOS es si también faltó aquí.
A.8.2, derechos de acceso privilegiado. El acceso de un empleado a una plataforma externa con datos de millones de clientes debería estar limitado al mínimo necesario para su función, y revisado periódicamente, no heredado indefinidamente porque en algún momento se otorgó por una razón operativa puntual.
A.5.19 a A.5.23, relación, acuerdos y seguridad en la cadena de suministro con proveedores. Exigen que la empresa sepa, en todo momento, qué proveedores externos tienen acceso a qué tipo de dato, y que existan cláusulas contractuales de notificación de incidentes y de estándares mínimos de seguridad (como la exigencia de autenticación multifactor) para cualquier plataforma de terceros que almacene información de clientes.
A.5.24 a A.5.28, gestión de incidentes de seguridad de la información. Cubren específicamente el momento en que algo ya salió mal: cómo se detecta, cómo se contiene, y, en un caso como este, cómo se comunica a los clientes antes de que el propio atacante se adelante usando el canal oficial de la empresa para hacerlo. ASOS tardó alrededor de dos días en confirmar el incidente públicamente, tiempo durante el cual la narrativa en redes sociales la controló, en los hechos, el grupo atacante.
El error más común de auditoría en e-commerce
En las auditorías de empresas de comercio electrónico, es habitual encontrar un programa de concienciación de seguridad que existe en papel (una capacitación anual, un documento firmado por cada empleado) pero que nunca se puso a prueba con un ejercicio real de ingeniería social dirigido al personal con acceso a sistemas de clientes. También es común que la autenticación multifactor se exija para los sistemas internos «críticos» definidos hace años, pero no se haya extendido a cada plataforma de terceros que se fue incorporando después, como un proveedor de notificaciones push o un almacén de datos en la nube contratado por el equipo de marketing sin pasar por seguridad. Un auditor que revisa el certificado de capacitación sin pedir evidencia de un simulacro de phishing o de vishing reciente, o que confirma que existe una política de autenticación multifactor sin verificar en cuáles sistemas específicos está realmente activada, está dejando pasar exactamente el tipo de brecha que afectó a ASOS.
Checklist práctica para una tienda online
Primero, hacer un inventario de qué empleados tienen acceso a plataformas de terceros con datos de clientes (almacenes de datos, CRM, proveedores de notificaciones, email marketing), no solo a los sistemas internos. Segundo, exigir autenticación multifactor en cada una de esas plataformas, sin excepción, incluidas las que el equipo de marketing o atención al cliente usa a diario y que rara vez pasan por una revisión de seguridad. Tercero, incorporar ejercicios periódicos y reales de simulación de ingeniería social (phishing, vishing, suplantación de contacto interno) dirigidos específicamente a los roles con ese tipo de acceso, con reporte de resultados. Cuarto, definir de antemano un protocolo de comunicación de crisis para el escenario en que un atacante use un canal propio de la empresa (notificaciones push, correo transaccional) para contactar directamente a los clientes, de modo que la respuesta oficial llegue en horas y no en días. Quinto, exigir contractualmente a cada proveedor con acceso a datos de clientes que cumpla con un estándar mínimo de autenticación y que notifique cualquier incidente en un plazo corto y definido.
Qué hacer ahora
El caso ASOS no se originó en una falla técnica compleja. Se originó en que una persona confió en un contacto que no era quien decía ser, y esa confianza abrió la puerta a plataformas donde vivían los datos de millones de clientes. Ninguna tienda online, grande o pequeña, está exenta de este riesgo, porque el objetivo del atacante no es el sistema más protegido de la empresa: es la persona con el acceso correcto y la formación insuficiente para notar la señal de alerta. El punto de partida para cualquier equipo de e-commerce es revisar esta semana dos cosas muy concretas: en cuáles plataformas de terceros con datos de clientes no hay todavía autenticación multifactor, y cuándo fue el último simulacro real de ingeniería social que se hizo al personal con ese acceso.
¿Tu tienda online sabe hoy en qué plataformas de terceros con datos de clientes falta autenticación multifactor, y cuándo fue el último simulacro de ingeniería social que hizo tu equipo? En Profile Empresarial te ayudamos a evaluar tus controles de acceso, proveedores y gestión de incidentes bajo el Anexo A de ISO 27001.
Agenda tu diagnóstico con nuestro equipo.
Profile Empresarial. Tu Certificación, Nuestro Compromiso.