Netshoes e ValeCard: o duplo alerta de segurança que o Brasil ignorou

Em menos de um mês, dois nomes conhecidos do ecossistema digital brasileiro viraram sinônimos de falha crítica de segurança. A Netshoes, gigante do e-commerce esportivo, teve 38 milhões de registros expostos — CPFs, telefones, endereços e dados cadastrais completos. A ValeCard, plataforma de benefícios corporativos usada por milhares de empresas no país, foi sequestrada pelo grupo de ransomware Medusa, que exfiltrou 107 GB de dados sensíveis e está exigindo US$ 500 mil de resgate. Não são acidentes isolados. São sintomas de uma infraestrutura de dados que o Brasil ainda trata como despesa, não como ativo crítico.

Netshoes: o segundo vazamento em oito anos

O histórico importa: a Netshoes já havia sido multada pelo Ministério Público de São Paulo em 2019, após um vazamento anterior que expôs dados de 2 milhões de clientes. Na época, a empresa pagou R$ 500 mil em acordo e prometeu reforçar controles internos. Seis anos depois, o número vazado saltou para 38 milhões de registros — dezoito vezes maior.

O que torna esse caso particularmente grave não é apenas o volume. É a natureza dos dados: CPF, número de telefone e endereço residencial são a tríade básica para engenharia social, fraudes financeiras e phishing direcionado. Com essas três informações, um agente malicioso consegue construir um perfil convincente o suficiente para enganar até usuários alertas. A combinação é matéria-prima para golpes de SIM swap, abertura de contas fraudulentas e até crimes de identidade mais elaborados.

O ponto de falha ainda não foi divulgado oficialmente pela empresa, mas padrões desse tipo de incidente em plataformas de e-commerce apontam para vetores conhecidos: APIs mal configuradas, credenciais comprometidas em sistemas legados e falta de monitoramento ativo de acesso anômalo a bancos de dados de clientes.

O que muda para quem comprou na Netshoes

Se você tem cadastro na plataforma, considere seus dados comprometidos. Troque senhas reutilizadas, ative autenticação em dois fatores nos serviços financeiros vinculados ao seu CPF e monitore seu nome nos principais bureaus de crédito. Para empresas que usam a Netshoes como canal de benefícios ou presentes corporativos, revisem contratos de compartilhamento de dados com terceiros — a responsabilidade solidária em caso de uso indevido existe no texto da LGPD.

ValeCard e o grupo Medusa: ransomware com exfiltração dupla

O ataque à ValeCard segue uma tendência que os grupos de ransomware mais sofisticados consolidaram nos últimos dois anos: a chamada "double extortion" (extorsão dupla). Primeiro, os dados são exfiltrados. Depois, os sistemas são criptografados. A vítima perde acesso operacional e ainda recebe a ameaça de publicação dos dados caso não pague.

O grupo Medusa — ativo desde 2021, com vítimas documentadas em mais de 20 países — é conhecido por operar um portal próprio na dark web onde publica contagens regressivas e amostras dos dados capturados. No caso da ValeCard, os 107 GB exfiltrados provavelmente incluem dados de beneficiários, folhas de pagamento, registros de cartões corporativos e informações de empresas clientes. O resgate pedido, US$ 500 mil, é relativamente contido para o padrão do grupo, o que sugere que a negociação pode ainda estar em curso.

O que o Medusa busca e como entra

O vetor de entrada mais comum para o Medusa é o protocolo RDP exposto (Remote Desktop Protocol) com credenciais fracas ou reutilizadas, seguido de exploração de vulnerabilidades em VPNs corporativas desatualizadas. Uma vez dentro da rede, o grupo realiza movimentação lateral silenciosa por dias ou semanas antes de acionar a criptografia — tempo suficiente para mapear e exfiltrar os ativos mais valiosos.

Nenhuma dessas técnicas é nova. Todas têm contramedidas documentadas. O problema é que muitas empresas brasileiras de médio porte ainda não as implementaram de forma consistente.

O que PMEs brasileiras precisam mudar agora

Esses dois incidentes têm uma lição prática direta para negócios que não são necessariamente grandes corporações:

Backups imutáveis não são opcionais. A estratégia 3-2-1 (três cópias, dois meios distintos, uma offsite) precisa incluir ao menos uma cópia imutável — ou seja, que não pode ser alterada ou deletada nem mesmo por um administrador comprometido. Soluções como Veeam com Object Lock no S3, ou Rubrik Security Cloud, entregam isso com custo acessível para empresas de médio porte.

Monitoramento de exfiltração é diferente de monitoramento de intrusão. Muitas empresas investem em firewalls e antivírus, mas não têm visibilidade sobre o que sai da rede. Ferramentas de DLP (Data Loss Prevention) e análise de tráfego de saída — como Darktrace ou Microsoft Purview — detectam transferências anômalas de grandes volumes de dados antes que o ransomware seja ativado.

O risco de terceiros é seu risco. Tanto a Netshoes quanto a ValeCard são fornecedores diretos de outras empresas. Se você usa plataformas de benefícios, e-commerce corporativo ou qualquer SaaS que armazena dados de funcionários, precisa incluir esses fornecedores no seu programa de gestão de risco de terceiros (TPRM). Isso significa questionários de segurança, cláusulas contratuais de notificação de incidentes e, idealmente, auditorias periódicas.

A LGPD tem dentes — e eles estão crescendo

A ANPD (Autoridade Nacional de Proteção de Dados) abriu consulta pública em 2024 para revisão do seu regulamento de sanções. O cenário que se desenha é de multas progressivas e mais ágeis. Empresas que sofreram incidentes anteriores e não demonstrarem evolução documentada nos seus controles de segurança enfrentam risco regulatório crescente — e a Netshoes, com seu histórico de 2019, está em posição especialmente vulnerável nesse sentido.

Para líderes de negócio no Brasil, a pergunta não é mais "vamos ser atacados?". A pergunta é: quando formos atacados, o quanto vamos perder — e o quanto podemos provar que fizemos o que estava ao nosso alcance?

Essas duas perguntas definem a diferença entre um incidente gerenciável e uma crise existencial.