Os incidentes de segurança digital e vazamentos de dados contra o setor de varejo cresceram mais de 100% nos últimos três anos, segundo um novo relatório da Kaspersky. O levantamento mostra que os ataques passaram a representar riscos não apenas para informações de clientes, mas também para pagamentos, operações, funcionários, fornecedores e continuidade dos negócios.
O volume de dados processados pelo varejo está entre os fatores que tornam o setor atrativo para os cibercriminosos. Informações de pagamento, cadastros de clientes e dados de programas de fidelidade estão entre os principais ativos expostos.
Entre as ameaças identificadas estão roubo de identidade, fraudes de reembolso e web skimming, técnica utilizada para capturar dados inseridos em páginas de pagamento. Ataques de comprometimento de e-mail corporativo, conhecidos como BEC, e ransomware também podem provocar interrupções operacionais, perdas financeiras e impactos sobre a continuidade dos negócios.
Diante desse cenário, a Kaspersky aponta cinco prioridades para fortalecer a segurança cibernética no varejo: proteção de dados, conscientização dos funcionários, segurança das transações, proteção da cadeia de suprimentos e preparação para ataques sofisticados.
Dados e comportamento humano exigem proteção
A utilização de dados para personalização de ofertas, definição de preços, campanhas segmentadas, inteligência artificial e automação logística aumentou a dependência das empresas varejistas em relação à coleta e análise de informações.
Essa concentração também transforma bancos de dados, plataformas conectadas e sistemas de terceiros em alvos relevantes. Um vazamento pode provocar multas regulatórias, despesas jurídicas, penalidades contratuais e custos de recuperação que, em grandes empresas varejistas, podem chegar a US$ 91 milhões.
A proteção das informações precisa ser considerada desde a concepção das estratégias de dados, combinando segurança e privacidade. A medida ganha relevância diante da expectativa dos consumidores por experiências personalizadas sem abrir mão da proteção de suas informações.
O comportamento dos funcionários também permanece entre os principais fatores associados aos incidentes de segurança. Segundo o relatório, entre 64% e 86% dos vazamentos estão relacionados a erros humanos não intencionais, incluindo cliques em mensagens de phishing, utilização de senhas fracas e uso inadequado de credenciais.
No varejo, os criminosos também utilizam técnicas de engenharia social como faturas falsas, alterações de dados bancários, scripts maliciosos em APIs e campanhas urgentes de comprometimento de e-mail corporativo para induzir funcionários a realizar ações que podem resultar em perdas financeiras ou acesso indevido às redes corporativas.
Pagamentos e cadeia de suprimentos entram no radar
Os sistemas de pagamento estão entre os pontos mais sensíveis da operação varejista. No comércio eletrônico, os criminosos podem manipular transações, roubar credenciais ou interceptar informações pessoais e financeiras durante uma compra.
Nas lojas físicas, os sistemas de ponto de venda também são alvos relevantes, especialmente quando estão conectados a plataformas de clientes, programas de fidelidade ou redes corporativas. Um comprometimento pode expor dados de pagamento e informações pessoais.
A indisponibilidade desses ambientes também pode gerar perdas financeiras. Segundo a Kaspersky, ataques capazes de paralisar lojas virtuais ou sistemas de pagamento podem provocar prejuízos de até US$ 20 mil por hora.
A cadeia de suprimentos representa outro vetor de risco. Empresas varejistas dependem de fornecedores, plataformas tecnológicas, parceiros logísticos, serviços em nuvem e diferentes sistemas conectados. Uma vulnerabilidade em um desses terceiros pode afetar estoques, pagamentos, entregas, disponibilidade de produtos e outros processos.
De acordo com estudos citados pela Kaspersky, 30% dos ataques direcionados ao varejo envolveram parceiros comerciais ou fornecedores. Apesar disso, apenas 9% dos executivos consideram esse risco sua principal preocupação em cibersegurança.
Preparação passa pela resiliência operacional
Os ataques sofisticados também exigem maior capacidade de preparação e resposta. Entre 2024 e 2025, empresas do varejo enfrentaram incidentes que provocaram períodos de indisponibilidade, perda de produtividade, custos de remediação, atualizações emergenciais de infraestrutura e recuperação de backups.
A disponibilidade de ferramentas de ataque, códigos vazados em plataformas públicas e o uso de inteligência artificial também ampliaram o acesso a recursos que podem ser utilizados em operações criminosas. Com isso, empresas de diferentes portes podem se tornar alvos.
“O varejo está em uma fase em que a cibersegurança já não pode ser vista como um suporte técnico, mas como uma condição para operar, vender e manter a confiança do consumidor. A digitalização do setor fez com que todas as áreas do negócio estejam conectadas, e isso significa que uma pequena violação pode rapidamente se transformar em uma interrupção comercial de grande escala. Por isso, o plano de ação deve partir de uma pergunta muito concreta: ‘quais processos não podem parar e quais controles são necessários para antecipar, reduzir e gerenciar esses riscos?’ A resiliência começa muito antes de um incidente: envolve proteger os dados, fortalecer os acessos, preparar as equipes, avaliar os fornecedores e ter visibilidade suficiente para agir antes que uma ameaça afete a operação ou o relacionamento com os clientes”, afirma Claudio Martinelli, diretor-geral para as Américas da Kaspersky.
Para fortalecer a resiliência, a Kaspersky recomenda que as empresas priorizem dados, sistemas e processos críticos para vendas, pagamentos, estoques e atendimento ao cliente.
A companhia também orienta as organizações a capacitar funcionários para identificar phishing, fraudes por e-mail e solicitações falsas, além de restringir permissões de acesso de acordo com as funções exercidas.
Outra recomendação é utilizar tecnologias de detecção e resposta para ampliar a visibilidade da infraestrutura e proteger endpoints, pontos de venda, plataformas digitais e sistemas internos.
A Kaspersky também indica o uso de serviços especializados e inteligência de ameaças. Entre as soluções citadas estão Kaspersky MDR e Kaspersky Threat Intelligence, que permitem monitorar riscos, investigar incidentes e adaptar as estratégias de proteção às ameaças específicas enfrentadas pelas organizações.
