Netshoes, ValeCard e il costo reale di ignorare la sicurezza nella catena

In meno di 30 giorni, due incidenti di sicurezza di grande portata hanno scosso l'ecosistema aziendale brasiliano: Netshoes ha avuto 38 milioni di record utente esposti, CPF, numeri di telefono e indirizzi completi, nel suo secondo leak significativo in otto anni, e ValeCard, gestore di benefit aziendali, è stata colpita dal gruppo di ransomware Medusa, che ha bloccato sistemi critici ed esfiltrato 107 GB di dati interni. Per chi pensa che questi casi riguardino solo le aziende citate nei titoli, è il momento di rivedere questa logica.

Cosa è successo, senza eufemismi

Netshoes, la recidiva non è coincidenza

Il primo leak di Netshoes è avvenuto nel 2018, quando i dati dei clienti sono stati esposti e l'azienda ha raggiunto un accordo con il Ministério Público. Ora, nel 2025, il volume è ancora maggiore: 38 milioni di record, con dati che consentono l'identificazione completa delle persone fisiche. Il CPF combinato con telefono e indirizzo è la materia prima per truffe di ingegneria sociale, frodi di portabilità SIM (SIM swap) e l'apertura di credito fraudolenta.

Netshoes, oggi parte del Grupo Magazine Luiza, non ha reso pubblico il vettore dell'attacco fino a questo momento. Ma lo schema, grande volume di dati strutturati, esfiltrazione silenziosa, assenza di cifratura nei campi più sensibili, indica carenze nei controlli di accesso ai database legacy, un problema classico nelle aziende cresciute per acquisizione e che non hanno unificato la propria architettura di sicurezza.

ValeCard e il gruppo Medusa, un attacco con RaaS dietro

Medusa non è un collettivo artigianale. Si tratta di un gruppo organizzato che opera con il modello Ransomware-as-a-Service (RaaS), con affiliati reclutati in forum chiusi e infrastruttura propria di contrattazione, inclusi siti di leak nella dark web dove pubblica campioni dei dati rubati come prova di compromissione.

Nel caso di ValeCard, i 107 GB esfiltrati includono, secondo analisi preliminari, dati di contratti aziendali, informazioni sui dipendenti e registri dei benefit. ValeCard elabora transazioni di buoni pasto, buoni alimentari e mobilità per migliaia di aziende clienti in tutto il Brasile. Questo significa che il raggio di impatto non si ferma alla sede di ValeCard, si estende a ogni azienda che utilizza la piattaforma come fornitore di servizi.

Perché questo conta per le PMI

Esiste un errore di percezione abbastanza comune sul mercato: le PMI credono di non essere obiettivo perché “non hanno nulla di valore”. La realtà è che non vengono colpite direttamente, vengono compromesse per rimbalzo.

Quando un'azienda usa Netshoes come canale di vendita o integra ValeCard per la gestione dei benefit, i suoi dati, e i dati dei suoi collaboratori e clienti, transitano per quegli ambienti. Una falla nel collegamento più debole della catena espone tutta la rete.

Cosa cambia in pratica per chi ha partner grandi

1. Le clausole contrattuali di sicurezza non sono burocrazia. Qualsiasi contratto con fornitori che trattano dati personali deve prevedere SLA di sicurezza, obbligo di notifica degli incidenti entro 72 ore (esigenza della LGPD, articolo 48) e diritto di audit. Se il contratto con la vostra piattaforma di e-commerce o il gestore dei benefit non include ciò, rinegoziate ora.

2. La mappatura dei dati di terzi è parte del vostro DPIA. Il Data Protection Impact Assessment non finisce alla porta della vostra azienda. Ogni dato che condividete con terzi deve essere mappato, con il livello di protezione richiesto documentato. Se ValeCard non cifrava i dati a riposo, dovevate saperlo prima dell'incidente.

3. Il monitoraggio della dark web non è paranoia. Servizi come Have I Been Pwned, SpyCloud e soluzioni enterprise come Recorded Future e Flare permettono di monitorare se credenziali o dati della vostra azienda compaiono in leak. Il costo di una licenza aziendale di base è una frazione del costo di una notifica di incidente all'ANPD.

Cosa richiede la LGPD, e cosa le aziende ancora non fanno

La Lei Geral de Proteção de Dados (Lei 13.709/2018) è chiara, il titolare del trattamento risponde per i danni causati dai suoi incaricati. Se ValeCard è incaricata del trattamento dei dati di una PMI, e si verifica un incidente, la PMI come titolare può essere ritenuta responsabile nei confronti degli interessati.

L'ANPD sta ancora costruendo il proprio storico di sanzioni, ma il precedente internazionale, in particolare sotto il GDPR europeo, mostra che ignorare la sicurezza dei partner è costato caro ad aziende di ogni dimensione. British Airways ha pagato 20 milioni di sterline di multa per una falla derivante da terzi nel 2020. Il Brasile è sulla stessa strada.

Cosa fare ora, lista breve e alta priorità

• Auditate i vostri fornitori critici che trattano dati di dipendenti o clienti. Richiedete evidenze di penetration test annuali e certificazioni come ISO 27001 o SOC 2.
• Rivedete i privilegi di accesso ai sistemi integrati via API con partner di e-commerce e benefit. Il principio del minimo privilegio non è opzionale.
• Implementate MFA su tutti gli accessi amministrativi, specialmente nelle integrazioni B2B. Medusa spesso entra tramite credenziali valide compromesse.
• Testate il vostro piano di risposta agli incidenti prima di averne bisogno. Un esercizio tabletop con scenario ransomware dura quattro ore e può risparmiare settimane di caos.

---

Gli incidenti di Netshoes e ValeCard non sono storie su grandi aziende negligenti. Sono storie su come la sicurezza digitale funziona in rete, e su come ogni anello debole contamina gli altri. Per le PMI brasiliane, la lezione non è osservare da lontano, è comprendere che il prossimo capitolo può includere il vostro nome.