Crisis en el comercio electrónico japonés: el sitio de Askul estuvo fuera de servicio un mes y medio tras un ataque

El minorista en línea japonés Askul solo parcialmente restableció las ventas en línea 45 días después de un ataque de ransomware, sin embargo aún está lejos de volver por completo a su funcionamiento normal. El incidente afectó no solo a sus propios servicios, sino también a los servicios logísticos para marcas externas.

Askul gestiona varias plataformas comerciales para clientes particulares y corporativos, así como la logística utilizada por empresas conocidas, incluida Muji. Su sitio propio está orientado a las pequeñas empresas, SOLOEL ARENA atiende compras corporativas, y el servicio para consumidores Lohaco colabora con Yahoo Japan.

El 19 de octubre la empresa detectó la infección de su infraestructura por un programa de extorsión. Al día siguiente se supo que la tramitación de pedidos y el envío de mercancías eran imposibles. El 22 de octubre la falla fue oficialmente vinculada a un sistema de gestión de almacenes inoperativo, lo que detuvo también los servicios logísticos para los socios.

El 30 de octubre Askul informó sobre una filtración a gran escala: nombres y datos de contacto de clientes quedaron de acceso público. La empresa reconoció la publicación de parte de la información, pidió disculpas, desplegó un servicio de correo en la nube para informar a los afectados y comenzó a enviar notificaciones indicando que por ahora no se han detectado signos de abuso de los datos robados.

A principios de noviembre Askul adoptó una medida atípica y abrió la recepción de pedidos por fax. Al inicio se ofrecían solo 37 artículos encabezados por cajas de papel de oficina; además, el sistema estaba disponible solo para categorías concretas de clientes, por ejemplo organizaciones médicas e instituciones de atención a personas mayores. Más adelante la lista de productos y el número de instalaciones de almacén se ampliaron progresivamente.

El 19 de noviembre la compañía solo abordó de manera general la esencia del incidente, declarando que se abstiene de revelar detalles del ataque y que continúa con un análisis profundo de los registros, la supervisión de anomalías y la determinación de las causas y la magnitud de la interrupción de los sistemas.

El 3 de diciembre Askul anunció la finalización de la restauración del sistema de gestión de almacenes con medidas de protección reforzadas y su disposición a aceptar pedidos en línea. Sin embargo, en esta etapa solo se han reactivado los servicios para clientes corporativos, y los plazos de entrega se han incrementado varios días en comparación con el nivel previo a la crisis.

Se planea reabrir las plataformas para consumidores, incluida Lohaco, tras la estabilización de las operaciones B2B; por ello, marcas que dependen de la logística de Askul, como Muji, siguen sin poder aceptar pedidos con normalidad. La situación se suaviza un poco porque la temporada de compras navideñas en Japón no es tan importante como en los mercados occidentales.

Las consecuencias financieras también siguen siendo inciertas. El lunes la empresa notificó a los inversores que no podrá preparar los estados financieros trimestrales para la publicación prevista el 15 de diciembre y que necesita tiempo adicional para evaluar los daños y los factores relacionados. Askul no especifica los plazos para la completa restauración de las ventas en línea.

El incidente ya se compara con el ataque de ransomware al minorista británico Marks & Spencer, que tuvo que gastar 136 millones de libras esterlinas en la eliminación de las consecuencias y sufrir una caída de beneficios. Teniendo en cuenta que la interrupción de Askul fue más prolongada y la reanudación se alargó, los costes finales de la empresa japonesa podrían ser comparables o incluso mayores.

Lo ocurrido subraya una vez más a qué precio se pagan las fallas en la protección y los planes de recuperación ante desastres insuficientemente probados para los grandes actores del comercio electrónico y la logística.