Setenta e cinco por cento das empresas de e-commerce brasileiras enfrentaram algum incidente de segurança digital em 2024, segundo levantamento da FecomércioSP. O dado, por si só, já preocupa. Mas o que muda o jogo para quem defende o varejo não é o volume de incidentes, mas a origem deles.
Por anos, o phishing foi apontado como a porta de entrada nº1 do cibercrime. Os dados mais recentes mostram um deslocamento estrutural: a credencial roubada silenciosamente por um infostealer, sem que o colaborador perceba qualquer coisa fora do normal, tornou-se o vetor preferencial de acesso inicial para os grupos de ransomware que hoje miram o varejo brasileiro. A porta não foi arrombada. Foi entregue por engano, semanas antes de o ataque começar.
O vetor mudou: do e-mail malicioso à credencial comprometida
O relatório M-Trends 2025, da Mandiant (Google Cloud), documenta essa transição com precisão. O phishing por e-mail como vetor de acesso inicial caiu de 22% para 14% dos casos analisados entre 2022 e 2024. Já o uso de credenciais roubadas teve um salto mais abrupto: de 10% em 2023 para 16% em 2024, um crescimento concentrado em um único ano, que o tornou a segunda técnica de acesso inicial mais comum, atrás apenas da exploração de vulnerabilidades. A Mandiant atribui essa mudança diretamente à crescente capacidade dos grupos criminosos de obter credenciais por diferentes caminhos, com destaque para infostealers comercializados como serviço.
O relatório de Ameaças de Identidade 2025 da SpyCloud mostra a outra metade do problema: quase metade dos usuários corporativos analisados globalmente já teve credenciais expostas por infostealers em algum momento, e o volume de registros de identidade recapturados pela empresa cresceu 24% em um ano, chegando a 63,8 bilhões de registros distintos. A mesma SpyCloud aponta que o phishing voltou a crescer como gatilho direto de ransomware em 2025, os dois vetores não se substituem, se somam, e frequentemente um alimenta o outro (a credencial phishada também pode ser revendida como acesso inicial).
Esse dado muda a lógica de defesa. Um ataque de phishing depende de o colaborador clicar em algo. Um infostealer depende apenas de uma máquina infectada em algum momento, muitas vezes semanas ou meses antes de qualquer atividade de ransomware começar. A vítima segue trabalhando normalmente, sem sinal de comprometimento, enquanto sua credencial já está à venda em um mercado de acesso inicial na dark web.
Por que o varejo brasileiro virou terreno fértil para esse modelo
O varejo reúne exatamente as condições que tornam esse vetor tão eficiente. É um setor com alto turnover de colaboradores, uso intenso de plataformas SaaS autenticadas por usuário e senha, e integrações constantes com fornecedores, marketplaces e sistemas de pagamento. Cada um deles, um ponto adicional de exposição de credenciais.
Segundo a Federação Brasileira de Bancos (Febraban), os prejuízos com fraudes financeiras no Brasil somaram R$10,1 bilhões em 2024, um crescimento de 17% em relação ao ano anterior, cartão de crédito e Pix concentram a maior parte desse valor, mas o comércio eletrônico é o ambiente onde boa parte dessas fraudes se origina e se completa, o que o coloca também na rota direta desse aumento.
Como já mostramos no artigo sobre a convergência entre TI e OT na indústria brasileira, grupos de ransomware direcionam esforço para onde a superfície de exposição é maior e a tolerância à indisponibilidade é menor. No varejo digital, essas duas variáveis caminham juntas: a operação não pode parar, e a superfície de ataque cresce a cada nova integração.
Do navegador ao ransomware: como o acesso é revendido
O modus operandi tem uma sequência previsível. O infostealer infecta um dispositivo corporativo ou pessoal, muitas vezes usado para acessar sistemas da empresa, e coleta credenciais salvas no navegador. Esses dados alimentam mercados de acesso inicial na dark web, onde corretores especializados (os chamados Initial Access Brokers) compram e revendem logins validados para operadores de ransomware.
O comprador entra na rede usando uma credencial legítima. Não há exploit, não há assinatura de malware para o antivírus identificar, não há alerta de login suspeito se a geolocalização e o horário parecerem plausíveis. A partir daí, o grupo se move lateralmente pela rede por dias ou semanas, mapeando sistemas críticos, elevando privilégios e localizando os dados mais valiosos antes de ativar o ransomware que, no padrão atual, já opera em dupla extorsão: os dados são exfiltrados antes de qualquer arquivo ser criptografado.
Quando a credencial vira porta: o que já aconteceu no varejo brasileiro
Casos assim já foram registrados no varejo brasileiro. Em julho de 2024, uma rede varejista do setor de joalherias teve cerca de 1,18 TB de dados confidenciais exfiltrados por um grupo de ransomware, que exigiu US$ 600 mil para não divulgar as informações, entre elas, dados de executivos e de clientes. Meses depois, uma grande rede de moda sofreu ataque do mesmo grupo, com exigência de US$300 mil e indisponibilidade temporária em parte dos sistemas.
No mesmo período, um grande e-commerce de artigos esportivos confirmou um incidente que resultou na exposição, em fóruns cibercriminosos, de dados associados a dezenas de milhões de usuários, CPF, telefone, endereço e histórico de pedidos. Não era a primeira vez que a empresa enfrentava esse tipo de exposição, e a reincidência costuma indicar ausência de controle contínuo sobre a superfície de exposição, não apenas azar.
Nem todo incidente termina em prejuízo irreversível, e vale registrar o contraponto. Uma transportadora de grande porte, atacada por ransomware em 2024, teve centenas de servidores criptografados, recusou-se a pagar o resgate e restaurou dezenas de terabytes de backup em tempo recorde.
O caso reforça um ponto central: a diferença entre um incidente contido e uma crise prolongada não está apenas em impedir a entrada do atacante, mas na capacidade de detectar o movimento lateral antes da ativação do ransomware e de responder com rapidez quando ele acontece.
Dupla extorsão: por que pagar (ou não pagar) já não resolve o problema
A dupla extorsão muda o cálculo de risco para o CISO. Mesmo que a empresa recupere os sistemas a partir de backup e não pague um centavo de resgate, os dados de clientes já foram exfiltrados antes da criptografia. Isso aciona, de forma independente do pagamento, as obrigações de notificação previstas na LGPD à Autoridade Nacional de Proteção de Dados (ANPD) e aos titulares afetados, além do risco de dano reputacional direto: dado de cliente vazado em fórum cibercriminoso não volta atrás.
Esse é o motivo pelo qual monitorar apenas o momento da criptografia é, na prática, chegar tarde. O comprometimento já aconteceu na etapa anterior, na credencial vazada semanas antes, na movimentação lateral silenciosa, na exfiltração que passou despercebida. A proteção precisa cobrir toda essa cadeia, não apenas o instante final.
A resposta estruturada que o cenário exige
Enfrentar um vetor que usa credenciais legítimas para entrar exige uma abordagem diferente de bloquear malware conhecido. A resposta da Asper para esse cenário se apoia em detecção comportamental, redução do valor da credencial exposta e visibilidade sobre dados sensíveis, orquestradas de forma integrada pelo Cyber Fusion Center (CFC).
Detecção comportamental que não depende de assinatura:
Quando o “invasor” está logando com uma senha legítima, um antivírus tradicional não tem o que detectar. O CrowdStrike Falcon Complete, operado pelo CFC da Asper, monitora o comportamento de identidades e processos: horário de acesso, geolocalização, padrão de uso, para identificar anomalias mesmo quando a credencial usada é autêntica, com capacidade de isolamento automatizado de um dispositivo comprometido em poucos minutos.
Reduzir o valor de uma credencial vazada:
Uma credencial comprometida só vale o que ela permite acessar. O Palo Alto atua na rotação automática de credenciais privilegiadas e no isolamento de sessões críticas, enquanto o SailPoint aplica governança de identidade e MFA adaptativo, revisando continuamente quais acessos cada usuário realmente precisa. Juntas, essas soluções reduzem drasticamente o raio de impacto de uma credencial que já vazou, porque, no vetor infostealer, presumir que isso vai acontecer em algum momento é mais realista do que tentar evitá-lo por completo.
Detectar a exfiltração antes da dupla extorsão se completar:
Se o dado crítico está na etapa de exfiltração, é ali que a defesa também precisa atuar. Antes que a criptografia comece. O Varonis monitora o comportamento de acesso a arquivos sensíveis, sinalizando volumes incomuns de leitura ou movimentação de dados de clientes que fogem do padrão esperado de uso.
Contenção em minutos, inclusive em datas de pico de vendas:
A integração entre essas ferramentas dentro do Cyber Fusion Center é o que transforma alertas isolados em contenção efetiva. Quando um comportamento anômalo aparece de madrugada, em um fim de semana ou três dias antes da Black Friday, justamente quando o custo de uma parada é maior e a guarda operacional tende a estar reduzida, o CFC correlaciona os sinais e aciona resposta antes que o movimento lateral avance para os sistemas mais críticos da operação.
Se sua empresa já enfrentou um incidente de segurança ou quer entender como funciona a certificação exigida de instituições reguladas, vale conferir também o artigo sobre o que é Pentest e por que o Banco Central já exige esse teste de instituições financeiras, a lógica de simular o ataque antes que ele aconteça vale igualmente para o varejo.
O ponto que o varejo não pode mais adiar
O deslocamento do phishing para o infostealer como vetor nº1 de acesso inicial não é uma nuance técnica, mas uma mudança de onde a defesa precisa concentrar esforço. Treinar colaboradores para não clicar em links continua importante, mas já não é suficiente quando a porta de entrada é uma credencial que vazou de um navegador, sem que ninguém tenha clicado em nada de suspeito.
A pergunta que todo CISO do varejo deveria estar respondendo agora não é mais “nossos colaboradores sabem identificar phishing?”. É: “se uma credencial legítima da nossa empresa já estiver à venda em algum mercado de acesso inicial neste exato momento, quanto tempo levaríamos para perceber?”
Quer entender como o Cyber Fusion Center da Asper pode reduzir o tempo entre o comprometimento de uma credencial e a contenção do incidente na sua operação de varejo? Fale com nosso time de especialistas.
