Cibersegurança no varejo: os 5 pontos que fazem uma operação parar + checklist de resiliência
Nos últimos meses, uma conversa se repetiu comigo em contextos diferentes. Varejistas, supermercadistas, gestores de operação, todos com variações da mesma pergunta: o que, na prática, pode fazer a minha operação parar?
E eu entendo por que essa pergunta ganhou urgência. O varejo passou por uma digitalização acelerada: PDV conectado, ERP na nuvem, e-commerce integrado ao estoque físico, pagamentos digitais, self-checkout, sensores de refrigeração, precificação dinâmica, logística orientada por dados. Cada uma dessas camadas trouxe eficiência real. Mas cada uma delas também virou um ponto de dependência. Hoje, uma loja física cheia de clientes pode simplesmente parar de vender porque um sistema, um link de conectividade ou um fornecedor digital saiu do ar.
A minha leitura é direta: essa interconexão é um caminho sem volta. O varejo não vai voltar ao caderno e à calculadora, do mesmo jeito que não abandonou a nuvem nem o mobile. A pergunta certa não é "devo depender menos de tecnologia?", porque essa o mercado já respondeu. A pergunta certa é: a minha operação está preparada para continuar funcionando quando uma dessas camadas falhar ou for atacada?
Porque no varejo, indisponibilidade não é um problema de TI. É caixa fechado, fila formada, carrinho abandonado, prateleira vazia e cliente migrando para o concorrente em tempo real. O setor tem uma das menores tolerâncias a downtime de toda a economia, e os atacantes sabem disso: quanto maior a pressão para voltar a operar, maior a disposição de pagar um resgate.
Como eu sempre digo: não existe 100% de segurança e não existe risco zero, mas existe método. Existe o conhecimento necessário para identificar os pontos que derrubam uma operação, priorizar os controles certos e preparar a recuperação antes do incidente. É isso que este artigo entrega: o cenário mundial, os 5 pontos que mais fazem o varejo parar e, ao final, um checklist de resiliência cibernética para você aplicar na sua operação.
O cenário mundial: o varejo entrou na mira
Se 2024 acendeu o alerta, 2025 confirmou a tendência. Alguns marcos ajudam a dimensionar o problema:
O varejo está entre os setores mais atacados do mundo. O Relatório Global de Ameaças 2026 da CrowdStrike, que caracterizou 2025 como o "ano do adversário evasivo", coloca o varejo entre os dez setores mais visados por intrusões interativas, aquelas em que há um operador humano conduzindo o ataque em tempo real. O mesmo relatório traz números que mudam a régua da resposta: o tempo médio entre o acesso inicial e a movimentação lateral do atacante (o chamado breakout time) caiu para 29 minutos em ataques de e-crime, com caso registrado de apenas 27 segundos. Ou seja: quando o ataque começa, a janela de reação é de minutos, não de dias.
Os ataques mudaram de natureza. Ainda segundo a CrowdStrike, 82% das detecções de 2025 não envolveram malware tradicional: os atacantes entram com credenciais válidas, abusam de identidades, exploram acessos de fornecedores e usam ferramentas legítimas do próprio ambiente. Somam-se a isso o crescimento de 89% em ataques conduzidos com apoio de IA e o aumento de 42% na exploração de vulnerabilidades zero-day antes da divulgação pública. O antivírus sozinho, aquele que procura arquivo malicioso, simplesmente não enxerga a maior parte desse cenário.
Grandes redes pararam de verdade. Em 2025, o Reino Unido assistiu a uma sequência de ataques contra redes icônicas do varejo, incluindo Marks & Spencer e Co-op, com semanas de e-commerce suspenso, rupturas de abastecimento em lojas e impacto financeiro estimado em centenas de milhões de libras, casos amplamente cobertos por veículos como BBC e Reuters. Nos Estados Unidos, a Forbes analisou o ataque à distribuidora United Natural Foods (UNFI), fornecedora de milhares de pontos de venda: para conter a invasão, a empresa tirou sistemas do ar, deixou de processar pedidos e o efeito apareceu na ponta, com prateleiras vazias em redes como a Whole Foods. O supermercado não foi o alvo. Parou mesmo assim.
O Brasil segue a mesma curva. A FecomercioSP alertou em 2025 para o avanço dos cibercrimes sobre o varejo brasileiro, citando levantamento DataSenado/Nexus segundo o qual 24% da população brasileira sofreu algum golpe digital nos 12 meses anteriores, mais de 40 milhões de pessoas. A entidade destaca ransomware, sites e perfis falsos usando marcas de varejistas e a vulnerabilidade particular das pequenas e médias empresas, que têm menos recursos para se recuperar de um incidente. Publicações especializadas do setor, como SuperVarejo e Central do Varejo, vêm reforçando o mesmo diagnóstico: ransomware, phishing, fraude em pagamentos e fragilidade de terceiros no topo da lista de riscos do varejo alimentar.
Com esse pano de fundo, vamos ao que interessa: os 5 pontos que, na prática, fazem uma operação de varejo parar.
1. Ransomware: a parada total, planejada por quem ataca
O ransomware é o cenário máximo de indisponibilidade: os sistemas são criptografados, a operação congela e o atacante cobra resgate para devolver o acesso, quase sempre com uma segunda extorsão embutida, a ameaça de vazar os dados roubados.
No varejo, o ransomware tem um agravante estratégico: o atacante conhece a sua tolerância a downtime. Como destacou a Central do Varejo ao analisar os incidentes de 2025, o setor combina alto volume de transações, grande massa de dados de clientes e baixíssima tolerância a interrupção. Cada hora parada é receita que não volta. Essa matemática é exatamente o que torna o varejo um alvo preferencial de extorsão: a pressão para restaurar a operação joga a favor de quem cobra o resgate.
E há um detalhe que muita gente descobre tarde demais: pagar não resolve. Especialistas ouvidos pela SuperVarejo lembram que o pagamento do resgate não garante a recuperação completa da infraestrutura. A única resposta confiável ao ransomware é a que foi construída antes dele: backup segregado e testado, plano de recuperação com ordem de prioridade dos sistemas e capacidade de detectar a intrusão nos estágios iniciais, antes da criptografia. É a lógica que a Sophos chama de prevention-first: interromper o ataque antes do impacto custa uma fração do que custa remediar depois.
2. Interconexão e cadeia de suprimentos: quando o fornecedor para, a loja para
Este é o risco mais subestimado do varejo moderno. A operação de uma loja depende de uma teia digital que vai muito além das paredes dela: distribuidores, operadores logísticos, provedores de ERP e e-commerce, adquirentes de pagamento, provedores de nuvem e conectividade, empresas de manutenção com acesso remoto.
O caso UNFI, analisado pela Forbes, é a ilustração perfeita: um ciberataque no distribuidor interrompeu o processamento de pedidos e virou prateleira vazia na gôndola de supermercados que não sofreram ataque nenhum. A lição é dura: o seu plano de continuidade precisa cobrir incidentes que não acontecem com você.
O relatório da CrowdStrike aponta a cadeia de suprimentos, de software e de negócio, como uma das superfícies favoritas do adversário moderno, justamente porque um único fornecedor comprometido abre a porta de dezenas ou centenas de clientes de uma vez. E a SuperVarejo reforça o ponto no contexto brasileiro: parte relevante dos ataques ao varejo começa em terceiros que investem pouco em segurança. Se um fornecedor tem acesso à sua rede, ao seu ERP ou à sua base de dados, a segurança dele é, na prática, a sua segurança.
E aqui vai uma recomendação prática da casa: quando o assunto é interconexão, a Forte recomenda o Eskaller, a solução de firewall corporativo e SD-WAN que nós mesmos desenvolvemos para a realidade das empresas brasileiras. É ele que resolve exatamente essa camada: comunicação segura entre matriz, filiais e parceiros com VPN site-to-site, políticas de acesso que segmentam e controlam o que cada terceiro pode alcançar na rede, priorização inteligente do melhor link disponível e failover automático quando um deles cai, reduzindo o risco de indisponibilidade que impacta diretamente o negócio. Tudo com gerenciamento centralizado em nuvem e monitoramento SOC 24/7 operando no Brasil. Hoje são mais de 1.000 empresas atendidas, com mais de 100 milhões de ataques bloqueados por mês na nossa base.
3. Indisponibilidade e falha de sistemas críticos: nem toda parada é um ataque
Nem toda parada nasce de um criminoso. PDV que não abre, adquirente fora do ar, link de internet rompido, ERP indisponível, atualização de software que sai errada: falha de sistema é causa recorrente de loja parada, e o mundo teve uma aula sobre isso em julho de 2024, quando uma atualização defeituosa de um software amplamente usado derrubou milhões de máquinas Windows simultaneamente e parou caixas de supermercado, companhias aéreas e bancos em vários países. Não foi um ataque. O efeito na operação foi o mesmo de um.
A mensagem desse episódio para o varejo é clara: do ponto de vista do negócio, indisponibilidade é indisponibilidade, não importa a causa. O caixa fechado não distingue ransomware de falha de atualização, e o cliente na fila muito menos.
Isso significa tratar disponibilidade como disciplina própria: redundância de conectividade nas lojas (link secundário, rota 4G/5G de contingência), modo de contingência do PDV para operar offline e sincronizar depois, janelas e critérios para aplicar atualizações em anéis (primeiro um grupo pequeno, depois o parque inteiro), inventário dos pontos únicos de falha e monitoramento que avise a central antes de o gerente da loja ligar. Como aponta a Exame ao analisar a operação supermercadista orientada por sensores e IA: quanto mais processos essenciais dependem de sistemas conectados, mais a disponibilidade dessa infraestrutura vira questão de margem, e margem, no varejo, é sobrevivência.
4. Phishing e engenharia social: a porta de entrada agora é uma pessoa
Se 82% das detecções não envolvem malware, por onde o atacante entra? Pela identidade. Phishing por e-mail, vishing (a ligação telefônica se passando por suporte ou por um funcionário), SMS falso, página de login clonada, abuso de MFA por fadiga de notificações e, cada vez mais, o golpe direcionado ao help desk: o atacante liga se passando por um colaborador e convence o atendimento a resetar uma senha ou registrar um novo dispositivo.
Foi essencialmente esse o vetor apontado nos grandes ataques ao varejo britânico de 2025: engenharia social sobre pessoas e processos de suporte, não uma façanha técnica sofisticada. E o dado da CrowdStrike sobre breakout time de 29 minutos mostra por que isso é tão grave: entre o clique na isca e o atacante se movendo pela rede, o intervalo cabe em um café.
No varejo, o desafio é agravado pela escala e pela rotatividade: milhares de colaboradores, muitos temporários, operando em loja, com pressa e com acesso a sistemas. A resposta precisa combinar três camadas: tecnologia (proteção de e-mail contra phishing e BEC, MFA resistente a fadiga, detecção de abuso de identidade, na linha do que fabricantes como a Sophos estruturam em suas plataformas), processo (procedimento rígido de verificação de identidade no help desk, sem exceção para "urgências") e pessoas (treinamento contínuo e realista, como recomendam tanto a FecomercioSP quanto o próprio relatório da CrowdStrike, que lista a resiliência humana contra phishing e vishing entre as prioridades de 2026).
5. PDV, pagamentos e dados de clientes: o ponto onde o dinheiro e a confiança se encontram
O ponto de venda é, ao mesmo tempo, o coração da receita e um dos alvos mais visados. Sistemas de PDV comprometidos permitem capturar dados de pagamento em escala, e a SuperVarejo destaca exatamente esse vetor no varejo alimentar. Guias técnicos de mercado, como o SIEM Buyer's Guide da Elastic, recomendam explicitamente monitoramento de integridade e segurança de endpoint para terminais POS quando sistemas críticos de pagamento estão no escopo de conformidade.
Ao redor do PDV orbita o segundo ativo mais valioso do varejo: a base de clientes. Programas de fidelidade, histórico de compras, CPF, endereço, meios de pagamento tokenizados. Um vazamento aqui produz três paradas em cascata: a operacional (sistemas desligados para contenção, como se viu em varejistas que precisaram derrubar as próprias redes durante incidentes recentes), a regulatória (LGPD, com notificação à ANPD, potencial sanção e custo jurídico) e a mais cara de todas, a reputacional. No varejo, confiança é recompra. E o levantamento citado pela FecomercioSP, com quase um quarto da população vítima de golpes digitais em um ano, mostra um consumidor cada vez menos tolerante com marcas que não protegem seus dados.
O checklist de resiliência cibernética para o varejo
Pensando nesses cinco pontos, estruturei um checklist de resiliência dividido em 7 frentes, com severidade definida para cada item. A lógica de severidade é a mesma que uso nas auditorias:
- C = Crítica: trata agora, é o que separa incidente de catástrofe;
- A = Alta: endereçar no próximo ciclo de investimento (30 a 90 dias);
- M = Média: planejar no roadmap do semestre;
- B = Baixa: melhoria contínua.
Use uma cópia por operação (ou por bandeira, em grupos com múltiplas redes), preenchendo o status de cada item com Pendente, Em andamento, Resolvido ou N/A.
1. Continuidade e recuperação
| Item | Sev | O que verificar |
|---|---|---|
| Backup segregado (offline ou imutável) dos sistemas críticos, fora do alcance de um ransomware na rede principal | C | Arquitetura de backup, credenciais separadas |
| Restauração testada nos últimos 6 meses, com tempo de recuperação medido | C | Relatório do último teste de restore |
| Plano de resposta a incidentes documentado, com papéis, contatos e ordem de prioridade de sistemas | C | Documento acessível fora da rede corporativa |
| Modo de contingência do PDV: a loja consegue vender com sistemas centrais fora do ar | A | Teste prático em loja piloto |
| Exercício de simulação (tabletop) de ransomware realizado com a liderança | A | Ata do último exercício |
2. Identidade e acesso
| Item | Sev | O que verificar |
|---|---|---|
| MFA obrigatório em e-mail, VPN, ERP, nuvem e contas administrativas | C | Cobertura real de MFA, não só política |
| Procedimento de verificação de identidade no help desk antes de reset de senha ou registro de dispositivo | C | Script do atendimento, teste com ligação simulada |
| Contas de ex-colaboradores e temporários desativadas em até 24h após desligamento | A | Amostragem cruzando RH e diretório |
| Acessos privilegiados nominais, com cofre de senhas e trilha de auditoria | A | Inventário de contas admin |
| Revisão periódica de acessos por função (loja, CD, escritório) | M | Última recertificação de acessos |
3. Terceiros e cadeia de suprimentos
| Item | Sev | O que verificar |
|---|---|---|
| Inventário de fornecedores com acesso à rede, aos sistemas ou aos dados, com dono interno definido | C | Lista viva, não planilha esquecida |
| Acesso de terceiros segmentado, com MFA e limitado ao necessário (nunca VPN com acesso amplo) | C | Regras de firewall e ZTNA para terceiros |
| Requisitos mínimos de segurança em contrato com fornecedores críticos, incluindo notificação de incidente | A | Cláusulas contratuais |
| Plano B mapeado para fornecedores críticos (distribuidor, adquirente, logística, ERP) | A | Análise de dependência única |
| Avaliação periódica de segurança dos fornecedores mais críticos | M | Questionário ou auditoria anual |
4. Disponibilidade e infraestrutura de loja
| Item | Sev | O que verificar |
|---|---|---|
| Redundância de conectividade nas lojas (link secundário ou contingência 4G/5G) | A | Teste de failover real |
| Atualizações de software aplicadas em anéis, com grupo piloto antes do parque completo | A | Política de deploy de updates |
| Inventário de pontos únicos de falha (sistemas, links, equipamentos, pessoas-chave) | A | Documento revisado no último ano |
| Monitoramento centralizado de disponibilidade de PDV, pagamentos e conectividade, com alerta proativo | M | Painel da central de operações |
| Equipamentos e sistemas legados (PDV antigo, servidores sem suporte) mapeados com plano de substituição | M | Inventário de ativos fora de suporte |
5. Detecção e resposta
| Item | Sev | O que verificar |
|---|---|---|
| Proteção de endpoint moderna (EDR/XDR) em servidores, estações e terminais POS, não apenas antivírus de assinatura | C | Cobertura por tipo de ativo |
| Monitoramento 24x7 dos alertas, próprio ou via serviço gerenciado (MDR), porque ataque não espera horário comercial | A | Quem olha o alerta às 3h de domingo |
| Logs centralizados e pesquisáveis dos sistemas críticos (SIEM), com retenção adequada | A | Fontes conectadas e tempo de retenção |
| Monitoramento de integridade nos terminais de pagamento | A | Controle específico de POS |
| Métricas de tempo de detecção e resposta acompanhadas pela gestão | M | Indicadores dos últimos incidentes |
6. Pessoas e cultura
| Item | Sev | O que verificar |
|---|---|---|
| Treinamento contra phishing, vishing e golpes de engenharia social, incluindo equipes de loja e temporários | A | Cobertura e frequência do treinamento |
| Simulações periódicas de phishing com trilha de reforço para quem cai | A | Resultado da última campanha |
| Canal claro para reportar suspeita de golpe, sem punição para quem reporta | M | Divulgação e volume de reportes |
| Integração de segurança no onboarding de novos colaboradores e sazonais | M | Conteúdo do onboarding |
7. Dados de clientes e conformidade
| Item | Sev | O que verificar |
|---|---|---|
| Mapeamento de onde vivem os dados pessoais de clientes (sistemas, nuvens, terceiros) | A | Registro de operações de tratamento (LGPD) |
| Dados sensíveis e de pagamento criptografados em repouso e em trânsito | A | Evidência técnica, não declaração |
| Procedimento de resposta a vazamento com prazos da LGPD (notificação à ANPD e aos titulares) | A | Playbook específico de vazamento |
| Retenção mínima: dados que não têm mais finalidade são descartados | M | Política de retenção aplicada |
| Monitoramento de uso indevido da marca (sites e perfis falsos aplicando golpes em seus clientes) | M | Serviço de takedown ou rotina de busca |
Como calibrar para o seu porte
- Pequeno e médio varejo: comece pelos itens C das frentes 1, 2 e 5. Backup testado, MFA e um endpoint decente com alguém olhando os alertas já eliminam os cenários mais catastróficos, e são exatamente os pontos em que a FecomercioSP lembra que as PMEs mais sofrem.
- Redes com múltiplas lojas: as frentes 3 e 4 ganham peso. A sua parada mais provável vem de um terceiro ou de um ponto único de falha replicado em todas as lojas.
- Operações com e-commerce e programa de fidelidade: a frente 7 sobe de prioridade, porque o volume de dados pessoais multiplica o impacto regulatório e reputacional de qualquer incidente.
- Frequência: revisite o checklist a cada mudança estrutural (novo ERP, nova adquirente, novo fornecedor com acesso à rede, abertura de canal digital) e ao menos duas vezes por ano.
Conclusão: a loja é física, o risco é digital
O varejo se tornou uma operação digital com fachada física. Interconexão, automação e dados são o que sustenta margem em um setor que trabalha apertado, e não há caminho de volta. O que separa uma rede que atravessa um incidente de uma rede que vira manchete não é sorte, e raramente é o tamanho do orçamento: é o processo de quem tratou disponibilidade e segurança como parte do negócio, antes do dia ruim.
Não existe 100% de segurança e não existe risco zero, mas existe método. Existe backup testado, identidade protegida, terceiro sob controle, detecção funcionando e gente treinada. Se parte da sua operação roda em software feito com apoio de IA, vale ler também o nosso checklist de auditoria de código gerado por IA. Este checklist é um ponto de partida prático para isso.
Sempre que eu me deparar com uma situação relevante no setor e puder me aprofundar nela, vou compartilhar aqui com vocês.
Vamos conversar pessoalmente? A Forte estará na Expo Agas 2026
Antes do convite final, um recado especial para os supermercadistas: a Forte Security estará presente na Expo Agas 2026, a feira e convenção da Associação Gaúcha de Supermercados, um dos maiores encontros do setor supermercadista do país. Se você opera supermercado e quer discutir na prática qualquer um dos cinco pontos deste artigo (do plano de contingência do PDV à segurança da sua cadeia de fornecedores), essa é a oportunidade de sentar com a nossa equipe frente a frente.
As informações do evento estão na página oficial da Agas: Expo Agas 2026. Nos procure por lá, estaremos na área de negócios, afinal, cybersegurança é sobre negócios. Será um prazer receber você. Se preferir adiantar a conversa, deixe seus dados na nossa página da campanha Expo Agas 2026.
E se a sua operação depende de PDV, e-commerce, cadeia de fornecedores e dados de clientes (ou seja, se você é varejo em 2026), um checklist é o começo, não o fim. A Forte Security, fundada em 2018 e com mais de 1.000 empresas atendidas, pode conduzir o diagnóstico completo de resiliência cibernética da sua operação: diagnosticar, priorizar, implementar e documentar, sem transformar o seu time em técnicos de segurança. Fale conosco.
Fontes citadas no artigo: CrowdStrike, Relatório Global de Ameaças 2026; Sophos, abordagem prevention-first; Forbes (Forbes Agro, jun/2025) sobre o ataque à UNFI; FecomercioSP (fev/2025) sobre cibercrimes no varejo brasileiro, com dados DataSenado/Nexus; SuperVarejo (mar/2025) sobre cibersegurança no varejo alimentar; Central do Varejo (jul/2025) sobre risco cibernético no varejo; Elastic, 2025 SIEM Buyer's Guide; cobertura de BBC e Reuters sobre os ataques ao varejo britânico em 2025.
Sugestões de links internos: artigo sobre vibe coding e segurança de código gerado por IA (série de auditoria), artigo sobre DPO e LGPD, página de serviços de diagnóstico e monitoramento gerenciado da Forte. Sugestão de alt text da imagem de capa: "Checklist de resiliência cibernética para operações de varejo".