Os sites das Lojas Americanas e Submarino começaram a ter instabilidades no último sábado (19), quando a Americanas S.A. identificou um “acesso indevido” e disse que “não havia evidência de comprometimento das bases de dados”. No dia seguinte, as páginas saíram do ar e não foram restauradas até o momento. Nesta segunda-feira (21), o Shoptime, que pertence ao mesmo grupo, também saiu do ar e, até o fechamento dessa matéria, os três sites seguem indisponíveis.
Embora poucas informações tenham sido confirmadas até o momento, a ação é uma das características de um ciberataque, e o setor varejista tem se tornado um grande alvo para os cibercriminosos. Isso porque o brasileiro perdeu o medo de comprar pela internet, a pandemia forçou a compra online e hoje o varejo conta com uma grande entrada de novos consumidores. Segundo dados da Confederação Nacional do Comércio de Bens, Serviços e Turismo (CNN), o e-commerce cresceu aproximadamente 38% no Brasil, com faturamento na casa dos R$ 300 bilhões.
Assim como no caso do ataque cibernético à Lojas Renner, ocorrido em agosto de 2021, a comunidade de Segurança da Informação e TI também se solidariza à Americanas, despertando até, mesmo nos concorrentes, um espírito de união. Em post no LinkedIn, a Lojas Riachuelo enfatiza que “não é a primeira vez que grandes players do varejo brasileiro sofrem ataques virtuais.”
O post reforça que a Riachuelo acredita em um varejo justo, com espaço e oportunidades para todos. “E justamente esse espaço com diversas empresas é que torna o varejo brasileiro um dos setores que mais emprega e gera oportunidades de Norte a Sul do país. Torcemos pela rápida recuperação da Americanas S.A”, diz a nota.
Os CISOs da Comunidade Security Leaders também se solidarizem e chamam atenção para o tamanho do impacto de um ataque cibernético no setor, enfatizando que, em um cenário de crise como esse, a união faz a força. Até porque, todos já sabem que não existe segurança 100% e que os mais variados setores estão na mira do cibercrime.
O alvo da vez
Por ser um dos segmentos mais importantes para a economia do país, certamente o Varejo vira um alvo. Se contabilizar todos os custos envolvidos em atividades operacionais relacionadas ao tratamento do evento de invasão, horas de trabalho utilizadas pelas diferentes equipes envolvidas e as perdas relacionadas ao impacto na reputação de uma empresa, certamente o impacto é preocupante.
Na visão de Claudio Bannwart, country manager da Netskope para o Brasil, haverá muitos ataques cibernéticos como esse ao longo de 2022, principalmente explorando credenciais de acesso, vulnerabilidades e configurações erradas no ambiente cloud. “A nuvem virou uma grande protagonista, principalmente quando falamos de comércio eletrônico. Como muitos pontos estão relacionados a esse ambiente, é preciso focar em pontos robustos de proteção”, pontua o especialista.
Segundo ele, não só o Varejo, mas diversos negócios que vivem hoje a pressão da transformação digital estão na mira do cibercrime. No caso da Americanas S.A, por estar com seus principais portais de e-commerce fora do ar há três dias, tudo indica que o incidente é grave e o impacto já é grande. A companhia perdeu quase R$ 2 bilhões em valor de mercado, de acordo com a consultoria especializada Economática. O grupo terminou o pregão desta segunda-feira (21) avaliado em R$ 27,9 bilhões.
Na visão de Bannwart, existe uma conscientização dos profissionais de Segurança de que essa corrida para a nuvem vai exigir novas posturas de proteção, o desafio é o volume de trabalho a ser feito nesses ambientes. “Qualquer erro de configuração ou comprometimento de credenciais pode ser fatal”, completa. Ele acrescenta que, para mudar esse jogo, é preciso reforçar os controles de credenciais, melhorar a visibilidade do ambiente e ter boas práticas de gestão de vulnerabilidades, protegendo o tráfego direcionado às aplicações.
Os Procons de São Paulo e Rio de Janeiro notificaram a Americanas S.A. pedindo explicações sobre problemas que ocorreram nos sites durante o final de semana. A empresa deverá esclarecer quando o problema foi constatado; qual a previsão para sua regularização; quais providências e procedimentos relativos aos protocolos de segurança foram implementados; e quais medidas foram tomadas para mitigar possíveis danos decorrentes do ataque noticiado.
As entidades também pediram explicações sobre quais os impactos para o consumidor; se o ataque afetou o banco de dados da empresa e que tipo de informações foram afetadas.
*Com informações do G1
