La reclamación de una brecha en ASOS Simon AI expone una brecha de seguridad de terceros
ASOS confirmó que unas credenciales robadas a empleados expusieron información de clientes, mientras que hackers afirmaron que la brecha de ASOS Simon AI alcanzó una plataforma de marketing conectada a Snowflake. La intrusión se hizo inusualmente visible el 6 de octubre de 2026, cuando los atacantes enviaron un mensaje de extorsión a través de la propia aplicación móvil del minorista. El mensaje afirmaba que habían “comprometido por completo” una instancia de ASOS en Snowflake.
El incidente confirmado y las afirmaciones más amplias de los atacantes no son lo mismo. ASOS confirmó el acceso no autorizado a plataformas de terceros y la exposición de nombres, datos de contacto y cierta información de cuentas. No ha confirmado públicamente que Simon AI fuera el punto de entrada ni que los atacantes controlaran todo su entorno de Snowflake.
Esa brecha de verificación es central en esta historia. Los atacantes, que se hacen llamar Xuanye Group, afirman haber vulnerado Simon AI y extraído datos de clientes. Snowflake afirma que su plataforma no fue comprometida. Sin embargo, el papel documentado de Simon AI en el marketing de ASOS muestra por qué una identidad robada puede generar riesgos en los sistemas de datos, personalización y comunicación con clientes.
Lo que ASOS ha confirmado sobre la reclamación de la brecha de Simon AI
ASOS ha confirmado una filtración de datos de clientes, pero varias de las afirmaciones más amplias de los atacantes siguen sin verificarse.
Clientes en Reino Unido, Irlanda, Estados Unidos y otros mercados informaron de haber recibido una notificación “ASOS HACKED” a través de la aplicación móvil del minorista. El mensaje se dirigía al personal de seguridad de ASOS y exigía establecer contacto mediante un canal de Telegram. También amenazaba con filtrar datos si ASOS se negaba a colaborar.
Enviar ese mensaje a través de una aplicación de confianza dio al intento de extorsión un alcance inusual. Los clientes no se encontraron con la afirmación en un foro criminal ni en un sitio de filtraciones poco conocido. Apareció mediante un canal de comunicación asociado a un minorista que ya utilizaban.
ASOS indicó inicialmente que una parte no autorizada había comprometido una plataforma de terceros utilizada para las comunicaciones con clientes. Su posterior aviso a clientes ofreció una explicación más clara del método de entrada. Según la empresa, un atacante suplantó a un contacto de confianza y obtuvo las credenciales de inicio de sesión de un empleado.
Esas credenciales se utilizaron posteriormente para acceder a información en determinadas plataformas de terceros. ASOS afirmó que aseguró los servicios afectados e inició una investigación con expertos externos, fuerzas del orden y autoridades regulatorias. La empresa también introdujo medidas de seguridad adicionales, aunque no las describió.
El aviso del minorista señaló que la información expuesta incluía nombres completos, datos de contacto y cierta información no personal de cuentas. ASOS afirmó que no se accedió a información de tarjetas de pago ni a contraseñas de cuentas. También indicó que su sitio web y su aplicación seguían siendo seguros de usar.
La empresa no ha revelado cuántos clientes resultaron afectados. ASOS atiende a 17 millones de clientes activos, pero ese total no debe confundirse con el número de víctimas de la brecha. No había un recuento verificado de víctimas disponible cuando se preparó este artículo.
Los atacantes hicieron afirmaciones más amplias. Según informes sobre la brecha, Xuanye Group afirmó poseer números de cliente, fechas de nacimiento, direcciones postales, números de teléfono, direcciones de correo electrónico e historiales de búsqueda. El grupo no ha aportado pruebas verificadas de forma independiente que establezcan el alcance completo de esas afirmaciones.
La distinción importa porque los grupos de extorsión se benefician de exagerar su acceso. Un compromiso visible demuestra que los atacantes alcanzaron al menos una vía de comunicación de confianza. No demuestra cada afirmación que hicieron sobre bases de datos, plataformas o registros robados.
La divulgación de ASOS confirma los hechos esenciales del incidente de seguridad. Un ataque de ingeniería social capturó credenciales de empleados, se accedió a sistemas de terceros y se expuso cierta información de clientes. La reclamación de la brecha de ASOS Simon AI sigue siendo la principal explicación reportada para la capa de marketing conectada, no una conclusión forense plenamente establecida.
El ataque comenzó con la confianza, no con una vulnerabilidad de Snowflake
Las pruebas apuntan a una identidad robada como el fallo inicial, mientras Snowflake rechaza las afirmaciones de que su servicio causara la brecha.
ASOS describió a un atacante que suplantó a un contacto de confianza para obtener las credenciales de un empleado. Esto es ingeniería social, un método que manipula a una persona para que conceda acceso o revele información de autenticación. Ataca la confianza antes que el software.
La empresa no ha explicado cómo se produjo la suplantación. No ha dicho si el atacante utilizó correo electrónico, una llamada telefónica, una plataforma de mensajería u otro canal. Tampoco ha revelado qué puesto del empleado fue comprometido ni cuánto tiempo siguieron siendo utilizables las credenciales.
Estas incógnitas limitan cualquier reconstrucción concluyente. Sin embargo, la secuencia divulgada es lo bastante clara como para separar la intrusión inicial del lenguaje de los atacantes sobre Snowflake. Las credenciales válidas pueden abrir servicios conectados de un cliente sin explotar al proveedor de nube subyacente.
Snowflake estableció esa distinción directamente. La empresa afirmó que el incidente no fue resultado de una vulnerabilidad, debilidad, fallo o configuración incorrecta en el servicio o los entornos internos de Snowflake. Su respuesta también indicó que no era necesaria ninguna corrección para otros clientes de Snowflake.
Esa declaración no significa que el entorno de ASOS conectado a Snowflake no se viera afectado. Significa que Snowflake afirma que su plataforma compartida no fue vulnerada. Un atacante podría acceder al flujo de datos de un cliente mediante credenciales robadas, una integración o una aplicación adyacente sin comprometer Snowflake en sí.
Por tanto, el ataque parece situarse en la frontera entre la identidad y el software conectado. Una cuenta de empleado sirvió como objetivo inicial. El acceso obtenido mediante esa identidad se extendió, según los informes, a plataformas de terceros que contenían o procesaban información de ASOS.
Este patrón se parece a ataques anteriores contra entornos de datos en la nube. En 2024, actores de amenazas utilizaron credenciales previamente robadas para acceder a numerosas cuentas de Snowflake gestionadas por clientes. Los investigadores no atribuyeron esa campaña a un compromiso de los sistemas de producción de Snowflake.
Snowflake respondió a esa campaña anterior reforzando los requisitos de autenticación para las cuentas de nueva creación. Sin embargo, un flujo de datos empresarial incluye más que la cuenta del almacén de datos. Las aplicaciones de marketing, los portales administrativos, las cuentas de servicio y los tokens de integración pueden mantener controles de autenticación independientes.
Por eso el incidente de ASOS no puede reducirse a la cuestión de si Snowflake exige autenticación multifactor. La autenticación multifactor, o MFA, exige una prueba adicional de identidad además de una contraseña. Puede bloquear muchos ataques basados en credenciales, pero solo cuando todas las vías de acceso relevantes la aplican de forma coherente.
Una aplicación conectada puede exponer su propia página de inicio de sesión. Un administrador puede reutilizar configuraciones de identidad distintas de las políticas del almacén de datos. Una integración de confianza puede conservar permisos que superan sus necesidades diarias. Cada excepción debilita el beneficio de seguridad de los controles aplicados en otros puntos.
Los informes públicos no han establecido si la cuenta de ASOS comprometida utilizaba MFA. Tampoco han establecido si los atacantes eludieron la MFA, explotaron una vía sin protección u obtuvieron una sesión activa. Cualquier conclusión más contundente iría más allá de las pruebas.
La evaluación más defendible es más limitada. ASOS afirma que una persona fue engañada, se robaron credenciales y se accedió a sistemas de terceros. Snowflake afirma que su plataforma no fue el origen. En conjunto, estas declaraciones convierten los controles de identidad en las aplicaciones conectadas en el punto inmediato de presión.
Por qué Simon AI está en el centro de la reclamación de ASOS
Simon AI importa porque, según los informes, reunía datos de clientes, señales de comportamiento, decisiones de personalización y mensajes salientes en un único flujo de marketing.
Xuanye Group dijo a la BBC que vulneró Simon AI, según BankInfoSecurity. ASOS no ha confirmado ni negado la participación de esa plataforma. Simon AI y su propietario, Monetate, no habían proporcionado un relato público detallado del incidente en los informes revisados para este artículo.
Simon AI era conocida anteriormente como Simon Data. Funciona como una plataforma de datos de clientes, o CDP, que combina información de varios sistemas en perfiles que los especialistas en marketing pueden utilizar para seleccionar audiencias y personalizar contenidos.
Un caso de estudio de ASOS publicado describe una estrecha relación operativa. Según el documento del proveedor, ASOS utilizó la plataforma para recopilar datos transaccionales, de comportamiento y demográficos de varias fuentes.
El caso de estudio indica que esas fuentes incluían registros de relaciones con clientes, actividad web y móvil, compras e interacciones con atención al cliente. Describe el resultado como una visión unificada de cada cliente.
Simon AI afirmó que la implementación actualizaba diariamente 50 millones de perfiles de clientes y utilizaba 80.000 productos para recomendaciones. También atribuyó 77,5 millones de dólares en ingresos incrementales a la implementación. Estas cifras proceden de un caso de estudio del proveedor, no de una auditoría independiente.
El mismo documento explica cómo las acciones de marketing dependían de esos datos. ASOS podía activar notificaciones push basadas en la actividad dentro de la aplicación. Podía enviar correos electrónicos por abandono de navegación y de carrito, emitir avisos de reposición, promocionar bajadas de precio y personalizar recomendaciones de productos.
Esa funcionalidad documentada hace que el uso de notificaciones push por parte de los atacantes sea especialmente importante. Establece que la comunicación con clientes formaba parte del flujo de marketing más amplio. No demuestra que Simon AI enviara la notificación maliciosa, ya que otro servicio conectado podría haber gestionado la entrega.
Aun así, la superposición ilustra el riesgo. Un sistema de marketing no se limita a almacenar direcciones de correo electrónico. Puede saber qué vio un cliente, qué compró, qué campañas recibió y cómo respondió a través de varios canales.
Ese contexto puede hacer que los datos expuestos sean más útiles para el phishing. Un delincuente que conoce las categorías preferidas de un cliente, sus búsquedas recientes o su comportamiento de compra puede crear mensajes que parezcan más creíbles. ASOS advirtió a los clientes que mantuvieran la cautela ante comunicaciones inesperadas que afirmaran proceder de la empresa.
La capacidad del atacante para publicar un mensaje a través de un canal de apariencia oficial añade otra dimensión. El robo de datos crea un riesgo de confidencialidad. La mensajería no autorizada a clientes crea un riesgo de integridad porque los delincuentes pueden hacer un uso indebido de la voz de confianza de la empresa.
Estos riesgos se conectan cuando una plataforma o identidad abarca ambas funciones. Los datos ayudan a adaptar las comunicaciones, mientras que las herramientas de comunicación proporcionan una vía para llegar a los clientes. Un atacante que alcance ambas puede convertir el contexto robado en presión inmediata o fraude.
Simon AI comercializa agentes de IA componibles que ayudan a los equipos a trabajar con información de clientes y tareas de marketing. Los sistemas componibles conectan servicios especializados mediante datos y permisos compartidos. Esa flexibilidad puede mejorar la velocidad de las campañas, pero también da a los equipos de seguridad más relaciones que mapear.
La lección no es que la IA causara la brecha. La acción inicial confirmada implicó ingeniería social y credenciales robadas. La importancia de la plataforma de IA reside en las relaciones de acceso construidas a su alrededor.
Una capa de marketing habilitada por IA puede operar cerca de grandes volúmenes de datos y, al mismo tiempo, influir en acciones orientadas al cliente. Por ello, su seguridad merece el mismo escrutinio que se aplica a las bases de datos centrales y los sistemas de pago, incluso si comenzó como una compra de marketing.
La verdadera brecha de seguridad está entre las plataformas conectadas
La afirmación sobre la brecha de ASOS Simon AI cuestiona la suposición de que proteger un almacén de datos central también protege todas las aplicaciones conectadas a él.
Las pilas de marketing modernas están deliberadamente interconectadas. Un almacén de datos almacena o procesa información de clientes. Una CDP organiza perfiles y segmentos. Los sistemas de recomendación seleccionan contenido. Las plataformas de mensajería envían correo electrónico, notificaciones móviles y otras campañas.
Las responsabilidades de seguridad se dividen entre esas capas. Snowflake puede proteger su servicio mientras una aplicación adyacente aplica reglas de identidad diferentes. ASOS puede proteger su aplicación de consumo mientras una cuenta de marketing autorizada conserva permiso para enviar notificaciones.
Los atacantes buscan estas diferencias. No necesitan superar el control más sólido si otra ruta de confianza alcanza los mismos datos o permite la misma acción. Una identidad de empleado comprometida puede convertirse en el puente entre servicios que, de otro modo, estarían separados.
El investigador británico de ciberseguridad Kevin Beaumont alegó que las cuentas de Simon AI no requerían MFA de forma predeterminada y que su portal de inicio de sesión aparecía en registros de infostealers. BankInfoSecurity informó sobre su evaluación, incluida su afirmación de que esa fue la ruta de entrada a ASOS.
ASOS ni Simon AI han confirmado esa afirmación. Por tanto, debe tratarse como la versión de un investigador, no como una conclusión forense definitiva. Aun así, plantea una pregunta verificable: ¿toda identidad capaz de acceder al entorno de marketing de ASOS debía utilizar autenticación resistente al phishing?
La autenticación resistente al phishing emplea métodos diseñados para impedir que los usuarios aprueben el acceso en sitios fraudulentos. Las claves de seguridad de hardware y las passkeys pueden ofrecer una protección más sólida que las contraseñas o los códigos fáciles de interceptar. Su eficacia sigue dependiendo de que cubran todos los servicios conectados.
Los equipos de seguridad también deben revisar las cuentas de servicio y los tokens. Estas identidades de máquina permiten que las aplicaciones intercambien datos sin que una persona inicie sesión para cada solicitud. A menudo funcionan de forma discreta, lo que dificulta detectar permisos excesivos o integraciones olvidadas.
Una auditoría útil comienza por las acciones que puede realizar cada conexión. ¿Solo puede leer un segmento limitado de clientes o puede consultar datos amplios de perfiles? ¿Puede activar una campaña? ¿Puede exportar registros? ¿Puede crear o modificar otras credenciales?
La siguiente cuestión se refiere al alcance. Los equipos de marketing suelen necesitar acceso a señales de comportamiento y transacciones, pero rara vez requieren acceso sin restricciones a todos los campos de origen. La minimización de datos puede reducir el daño si una cuenta resulta comprometida.
Las organizaciones también deberían separar el acceso a los datos de la comunicación con los clientes. La identidad que crea una audiencia no debería controlar automáticamente todos los canales salientes. Exigir aprobación adicional para mensajes inusuales o de gran volumen puede limitar la capacidad de un atacante para convertir una aplicación de confianza en un arma.
La notificación fraudulenta muestra por qué estos controles no pueden centrarse únicamente en la confidencialidad. Una empresa debe detectar acciones anómalas además de descargas anómalas. Una alerta enviada fuera del calendario de campañas, por un administrador nuevo o a una audiencia inusualmente amplia debería revisarse de inmediato.
Los registros centralizados son igual de importantes. Los investigadores deben conectar los eventos de identidad entre la cuenta del empleado, la plataforma de marketing, el almacén de datos y el proveedor de mensajería. Los registros separados pueden ocultar una secuencia que solo parece sospechosa cuando se observa en conjunto.
Aquí es donde una base de conocimientos con búsqueda bien mantenida puede respaldar la respuesta ante incidentes. Los equipos necesitan registros actualizados de responsables, diagramas de integración, procedimientos de acceso y contactos de proveedores antes de que una cuenta se vea comprometida.
El incidente de ASOS ejerce presión sobre los compradores empresariales tanto como sobre los proveedores. Los equipos de compras eligen cada vez más productos de IA y personalización por su capacidad de acceder a los datos sin copiarlos en otro repositorio. Esa arquitectura puede reducir algunos riesgos de duplicación, pero el acceso sigue teniendo consecuencias.
Los compradores deberían preguntar si MFA es obligatorio, qué métodos de autenticación se admiten y si las políticas de inicio de sesión único cubren a los administradores. Deberían verificar con qué rapidez pueden revocarse las sesiones y si los registros de acceso pueden alimentar las herramientas de monitorización existentes.
También deberían preguntar cómo el producto separa el análisis de la acción. Un sistema que puede tanto examinar el comportamiento de los clientes como enviar mensajes implica un riesgo distinto al de un servicio de analítica de solo lectura. Sus requisitos de aprobación deberían reflejar esa diferencia.
Lo que la evidencia pública aún no demuestra
La brecha confirmada es grave, pero el registro público no establece un compromiso total de Snowflake, que Simon AI fuera el punto de entrada ni el volumen de datos afirmado por los atacantes.
La evidencia más sólida procede del propio aviso de ASOS. Confirma el robo de credenciales mediante suplantación de identidad, el acceso a plataformas de terceros y la exposición de cierta información de clientes. También excluye información de tarjetas de pago y contraseñas de cuentas según las conclusiones actuales de la empresa.
La redacción de la compañía sigue siendo limitada. “Ciertas plataformas de terceros” podría referirse a Simon AI, a otro servicio de marketing o a varios sistemas conectados. ASOS no ha publicado un informe técnico del incidente que nombre esos servicios.
La afirmación de Xuanye Group aporta la conexión con Simon AI. Las afirmaciones criminales pueden orientar una investigación, pero no constituyen una verificación independiente. Los grupos de extorsión tienen incentivos para describir el acceso en los términos más amplios posibles.
La notificación de los atacantes afirmó que habían comprometido por completo una instancia de Snowflake. Snowflake rechaza cualquier sugerencia de que su servicio, plataforma o entorno interno haya sido comprometido. Ambas afirmaciones pueden coexistir porque se refieren a significados distintos de “compromiso de Snowflake”.
Un atacante podría acceder a información asociada con un flujo de trabajo respaldado por Snowflake a través de una aplicación conectada. Eso no demuestra control sobre la infraestructura de Snowflake. Ni siquiera necesariamente demuestra acceso directo a la cuenta de Snowflake del cliente.
El inventario de datos es igualmente incierto. ASOS confirmó nombres, datos de contacto y cierta información de cuentas. Los reportes atribuyeron a los atacantes afirmaciones sobre fechas de nacimiento, números de cliente, direcciones postales e historiales de búsqueda.
Ningún informe forense público ha conciliado esas listas. El número de personas afectadas también sigue sin divulgarse. BleepingComputer informó que ASOS no había proporcionado una cifra de impacto cuando se le preguntó.
La notificación push prueba el acceso a una ruta de comunicación con clientes, pero no identifica el componente comprometido. Una aplicación puede depender de varios servicios para redactar, aprobar y entregar una notificación. El acceso a cualquiera de esas etapas podría bastar para enviar un mensaje no autorizado.
La identidad del actor de la amenaza también sigue siendo incierta. Xuanye Group apareció a través de un canal de Telegram recién creado. Un nombre, una elección de idioma o una afiliación declarada no establecen de forma fiable quién operó la intrusión.
Investigadores independientes también han advertido contra la suposición de que cada captura de pantalla publicada por el grupo pertenece a ASOS. Una imagen descrita en los reportes mostraba un entorno de SharePoint sin una marca visible de ASOS y contenía nombres asociados con otra empresa.
Esa inconsistencia no invalida la brecha confirmada de ASOS. Sí demuestra por qué cada artefacto necesita una autenticación independiente. Los canales criminales suelen combinar evidencia auténtica, material no relacionado y exageración estratégica.
La afirmación de la empresa de que las contraseñas y la información de pago no se vieron afectadas también merece una redacción cuidadosa. Refleja la conclusión actual de la investigación, no una garantía universal sobre todos los riesgos posteriores.
Los nombres, números de teléfono, direcciones de correo electrónico y el contexto de compra aún pueden respaldar intentos de phishing convincentes. Los clientes pueden recibir mensajes que hagan referencia a la brecha, afirmen ofrecer reembolsos o soliciten información de “verificación”.
ASOS indicó a los clientes que no era necesaria ninguna acción sobre sus cuentas. También advirtió que la empresa nunca solicitaría contraseñas, códigos de seguridad ni datos de pago mediante un mensaje o una llamada no solicitados. Esa es la orientación inmediata más relevante para los usuarios.
Para las empresas, la incertidumbre trae otra lección. Las comunicaciones de respuesta a incidentes deberían distinguir entre hechos confirmados, afirmaciones de actores de amenazas y cuestiones técnicas sin resolver. Combinarlos puede amplificar accidentalmente la narrativa del atacante o minimizar un riesgo real.
Los detalles de la notificación a clientes muestran que ASOS ha proporcionado un mecanismo de entrada verificado y categorías de información expuesta. Los nombres de plataformas ausentes y el número de víctimas siguen siendo las dos mayores lagunas de divulgación.
Tres señales mostrarán hasta dónde llega el incidente
La siguiente fase debería sustituir las afirmaciones de los atacantes por evidencia sobre los clientes afectados, el acceso a plataformas y los controles de autenticación.
La primera señal es la investigación finalizada de ASOS. La compañía ha dicho que volverá a contactar a los clientes si surgen hallazgos relevantes. Un aviso final debería identificar los campos de datos afectados, el número y los mercados de los clientes impactados, y el período de acceso pertinente.
Un recuento preciso de víctimas delimitaría el incidente, pasando de una amenaza amplia a una exposición cuantificable. También mostraría si los atacantes alcanzaron un segmento de campaña limitado o un conjunto de datos de clientes mucho mayor.
La ausencia de información de pago no resuelve el riesgo. El historial de búsqueda, los atributos de perfil y la información de contacto pueden revelar intereses personales y respaldar fraudes dirigidos. La confirmación de que se accedió a esos campos reforzaría el argumento para tratar los datos de marketing como material de seguridad sensible.
La segunda señal es una declaración directa de Simon AI o Monetate. La empresa debe aclarar si se accedió a su plataforma, si la cuenta afectada tenía MFA y si falló algún control a nivel de producto.
Una respuesta útil también explicaría la configuración de autenticación predeterminada de la plataforma en el momento del incidente. Los clientes necesitan saber si MFA era opcional, obligatorio o se imponía a través de un proveedor de identidad empresarial.
Si Simon AI confirma que credenciales válidas alcanzaron datos de ASOS, el incidente reforzaría el análisis de los límites de identidad. Si demuestra que sus sistemas no estuvieron implicados, los investigadores tendrán que identificar otra ruta de terceros.
La tercera señal es evidencia sobre cómo se envió la notificación maliciosa. Los investigadores deben determinar si los atacantes utilizaron Simon AI, un proveedor de mensajería independiente, una herramienta administrativa de ASOS u otra integración.
Esa respuesta afecta a la gravedad del incidente. El acceso a una cuenta de marketing es diferente del acceso coordinado a través de sistemas de datos y mensajería. Lo segundo indicaría una reutilización más amplia de credenciales, permisos excesivos o múltiples identidades comprometidas.
Las empresas no deberían esperar todas las respuestas antes de revisar sus propios entornos. Pueden inventariar las aplicaciones conectadas a datos de clientes, imponer MFA, revocar sesiones inactivas y examinar las identidades con privilegios tanto de exportación como de publicación.
También pueden ensayar el problema de comunicación expuesto aquí. Cuando los atacantes utilizan primero un canal de confianza, la empresa pierde el control del mensaje inicial. Los planes de respuesta deberían incluir una publicación rápida mediante canales protegidos de forma independiente.
Los clientes deben mantenerse alerta ante mensajes que usan detalles reales de compras para generar urgencia. Deben acceder directamente a la aplicación o al sitio web de ASOS en lugar de seguir enlaces no solicitados. Cualquier solicitud de contraseña, código de seguridad o datos de pago debe considerarse sospechosa.
La afirmación de una brecha en ASOS Simon AI es, en última instancia, una prueba de la gobernanza de las plataformas conectadas. El engaño inicial se dirigió a un solo empleado, pero las consecuencias alcanzaron los datos de clientes y un canal de comunicación público.
La evaluación final depende de pruebas que aún faltan. ¿Accedieron los atacantes a Simon AI y qué permisos tenía la identidad robada? ¿Cuántos registros de clientes quedaron expuestos? ¿Qué sistema envió la notificación fraudulenta?
Estas respuestas determinarán si se trató de un incidente de credenciales contenido o de una advertencia sobre una brecha de seguridad mucho mayor. Hasta entonces, las organizaciones deben examinar cada conexión de confianza que rodea sus datos de clientes, especialmente aquellas capaces de comunicarse directamente con los clientes.
