Novo relatório da Kaspersky alerta que as ameaças contra o Varejo cresceram mais de 100% nos últimos três anos, colocando em risco a continuidade operacional, a segurança das transações e a confiança dos consumidores
Nos últimos três anos, os incidentes de segurança e os vazamentos de dados no setor do Varejo aumentaram mais de 100%, consolidando o segmento como um dos alvos mais atraentes para os cibercriminosos. Um novo relatório da Kaspersky revela esse cenário e analisa como as ameaças contra o setor evoluíram para além do roubo de informações e hoje podem comprometer pagamentos, operações, funcionários, cadeias de suprimentos e a confiança dos consumidores. Veja abaixo os principais insights do relatório e como mitigar esses riscos.
O varejo está cada vez mais no radar dos cibercriminosos devido ao grande volume de dados sensíveis que processa, como informações de pagamento, cadastros de clientes e programas de fidelidade. Entre as principais ameaças ao setor estão o roubo de identidade, as fraudes de reembolso e o web skimming, técnica maliciosa que captura dados inseridos em páginas de pagamento. Além disso, ataques como comprometimento de e-mail corporativo (BEC) e ransomware podem ampliar os impactos de um incidente, causando interrupções operacionais, prejuízos financeiros e riscos à continuidade dos negócios.
Diante desse cenário, a Kaspersky destaca cinco prioridades que as empresas do setor devem adotar para fortalecer sua postura de segurança e construir operações mais resilientes.
A proteção de dados como prioridade
No varejo, os dados se tornaram um ativo estratégico. A personalização de ofertas, os preços dinâmicos, as campanhas segmentadas, a inteligência artificial e a automação logística dependem cada vez mais da coleta e da análise de grandes volumes de informações de clientes e empresas. No entanto, essa mesma concentração transforma essas bases de dados, plataformas conectadas e sistemas de terceiros em alvos atraentes para os cibercriminosos. O desafio não é apenas técnico, mas também econômico e reputacional. Um vazamento pode gerar multas regulatórias, despesas jurídicas, penalidades contratuais e custos de recuperação que, em grandes empresas varejistas, podem chegar a US$ 91 milhões. Além disso, em um contexto no qual os consumidores esperam experiências personalizadas, mas também maior proteção de sua privacidade, as empresas precisam desenvolver sua estratégia de dados com base nos princípios de segurança e privacidade desde a concepção.
Cultura de responsabilidade cibernética na empresa: construir uma força de trabalho resiliente
As ações e os erros humanos continuam sendo uma das principais causas dos incidentes de cibersegurança. Em média, entre 64% e 86% dos vazamentos estão relacionados a erros humanos não intencionais, desde clicar em um e-mail de phishing e utilizar senhas fracas até o uso inadequado de credenciais de acesso. Mesmo sem intenção, os próprios colaboradores podem enfraquecer a resiliência de uma organização e comprometer processos críticos para a operação.
Esse desafio persiste no setor devido ao baixo npivel de conscientização em cibersegurança e a táticas de engenharia social cada vez mais sofisticadas. Hoje, os cibercriminosos recorrem a faturas falsas, dados bancários adulterados, scripts maliciosos em APIs e campanhas urgentes de comprometimento de e-mail corporativo para enganar funcionários do varejo, desviar recursos financeiros ou se infiltrar em redes corporativas.
Continuidade dos pagamentos e segurança nas transações financeiras
O processo de pagamento é um dos momentos mais críticos para o varejo, pois é quando a intenção de compra finalmente se transforma em venda. Qualquer interrupção nessa etapa pode gerar abandono de carrinhos, perda de receita e impacto direto na confiança na marca. No comércio eletrônico, os invasores podem manipular transações, roubar credenciais ou interceptar informações pessoais e financeiras justamente quando os clientes realizam uma compra, mesmo quando a sessão parece legítima e segura.
Nas lojas físicas, os sistemas de ponto de venda também são alvos atraentes para os cibercriminosos, especialmente quando estão conectados a plataformas de clientes, programas de fidelidade ou redes corporativas. Caso esses sistemas sejam comprometidos, podem expor dados de pagamento ou informações pessoais.
Somam-se a isso ataques capazes de paralisar lojas virtuais ou sistemas de pagamento, com perdas que podem chegar a US$ 20 mil por hora. Por isso, proteger as transações não é fundamental apenas para evitar fraudes, mas também para manter a operação ativa e preservar a confiança dos consumidores.
Confiar, mas verificar: fortalecer o perímetro para proteger a cadeia de suprimentos
Os ataques à cadeia de suprimentos tornaram-se uma das principais ameaças às empresas, e o varejo não é exceção. Em um setor que depende de diversos fornecedores, plataformas tecnológicas, parceiros logísticos, soluções em nuvem e sistemas conectados, uma vulnerabilidade em um terceiro pode se ampliar rapidamente e afetar estoques, pagamentos, entregas, disponibilidade de produtos e continuidade operacional.
De acordo com diferentes estudos, 30% dos ataques direcionados ao varejo envolveram parceiros comerciais ou fornecedores. No entanto, muitas organizações ainda subestimam esse risco, pois apenas 9% dos executivos o consideram sua principal preocupação em cibersegurança. Isso demonstra que uma empresa resiliente não deve apenas proteger seus próprios sistemas, mas também verificar os níveis de segurança dos terceiros com os quais trabalha.
Preparados para o pior: resiliência diante de ataques sofisticados
Os ciberataques sofisticados costumam ser precedidos por longos períodos de reconhecimento, espionagem e busca por vulnerabilidades. Entre 2024 e 2025, o setor varejista enfrentou diversos incidentes desse tipo, que afetaram a operação de grandes marcas e geraram períodos de indisponibilidade, perda de produtividade, custos de remediação, atualizações urgentes de infraestrutura, recuperação de backups e, em alguns casos, riscos diretos à continuidade dos negócios. Embora durante anos essas ameaças tenham sido associadas principalmente a grandes corporações ou entidades governamentais, o cenário mudou. As ferramentas para executar ataques sofisticados estão mais acessíveis devido a vazamentos de código, à sua disponibilidade em plataformas públicas e ao uso massivo de inteligência artificial. Por isso, presumir que uma empresa é pequena ou pouco relevante para ser atacada pode ser um erro caro.
“O varejo está em uma fase em que a cibersegurança já não pode ser vista como um suporte técnico, mas como uma condição para operar, vender e manter a confiança do consumidor. A digitalização do setor fez com que todas as áreas do negócio estejam conectadas, e isso significa que uma pequena violação pode rapidamente se transformar em uma interrupção comercial de grande escala. Por isso, o plano de ação deve partir de uma pergunta muito concreta: ‘quais processos não podem parar e quais controles são necessários para antecipar, reduzir e gerenciar esses riscos?’ A resiliência começa muito antes de um incidente: envolve proteger os dados, fortalecer os acessos, preparar as equipes, avaliar os fornecedores e ter visibilidade suficiente para agir antes que uma ameaça afete a operação ou o relacionamento com os clientes”, afirma Claudio Martinelli, diretor-geral para as Américas da Kaspersky.
Para fortalecer sua resiliência diante desse cenário, a Kaspersky recomenda às empresas varejistas:
- Priorizar o que é crítico. Identificar quais dados, sistemas e processos são indispensáveis para vender, processar pagamentos, gerenciar estoques e atender clientes, a fim de concentrar a proteção nas áreas em que uma interrupção teria maior impacto.
- Capacitar pessoas e controlar acessos. Treinar os funcionários para lidar com ameaças como phishing, fraudes por e-mail ou solicitações falsas, além de limitar as permissões de acordo com a função de cada pessoa para reduzir o risco de erros humanos ou acessos indevidos.
- Utilizar tecnologias de detecção e resposta. As soluções do portfólio Kaspersky Next ajudam a proteger endpoints, melhorar a visibilidade da infraestrutura e responder a ameaças avançadas que possam afetar pontos de venda, plataformas digitais ou sistemas internos.
- Contar com especialistas e inteligência de ameaças. Serviços como Kaspersky MDR e Kaspersky Threat Intelligence permitem monitorar riscos, investigar incidentes e adaptar a estratégia de proteção às ameaças específicas do setor e da região.
