Netshoes, ValeCard e o custo real de ignorar segurança em cadeia

Em menos de 30 dias, dois incidentes de segurança de grande porte sacudiram o ecossistema corporativo brasileiro: a Netshoes teve 38 milhões de registros de usuários expostos — CPFs, telefones e endereços completos — em seu segundo vazamento significativo em oito anos, e a ValeCard, gestora de benefícios corporativos, foi atingida pelo grupo de ransomware Medusa, que bloqueou sistemas críticos e exfiltrou 107 GB de dados internos. Para quem acha que esses casos afetam apenas as empresas nomeadas nos títulos, é hora de rever essa lógica.

O que aconteceu — sem eufemismos

Netshoes: reincidência não é coincidência

O primeiro vazamento da Netshoes ocorreu em 2018, quando dados de clientes foram expostos e a empresa chegou a um acordo com o Ministério Público. Agora, em 2025, o volume é ainda maior: 38 milhões de registros, com dados que permitem identificação plena de pessoas físicas. O CPF combinado com telefone e endereço é o insumo básico de golpes de engenharia social, fraudes em portabilidade de chip (SIM swap) e abertura de crédito fraudulento.

A Netshoes, hoje parte do Grupo Magazine Luiza, não divulgou publicamente o vetor de ataque até o momento. Mas o padrão — grande volume de dados estruturados, exfiltração silenciosa, ausência de cifração nos campos mais sensíveis — aponta para falhas em controles de acesso a bancos de dados legados, um problema clássico em empresas que cresceram por aquisição e nunca unificaram sua arquitetura de segurança.

ValeCard e o grupo Medusa: um ataque com RaaS por trás

O Medusa não é um coletivo artesanal. Trata-se de um grupo organizado que opera no modelo Ransomware-as-a-Service (RaaS), com afiliados recrutados em fóruns fechados e infraestrutura de negociação própria — incluindo um site de vazamento na dark web onde publica amostras dos dados roubados como prova de comprometimento.

No caso da ValeCard, os 107 GB exfiltrados incluem, segundo análises preliminares, dados de contratos corporativos, informações de colaboradores e registros de benefícios. A ValeCard processa transações de vale-refeição, vale-alimentação e mobilidade para milhares de empresas clientes em todo o Brasil. Isso significa que o raio de impacto não para na sede da ValeCard — ele se expande para cada empresa que usa a plataforma como prestadora de serviços.

Por que isso importa para PMEs

Existe um erro de percepção bastante comum no mercado: PMEs acreditam que não são alvos porque "não têm nada de valor". A realidade é que elas não são alvadas diretamente — elas são comprometidas por ricochete.

Quando uma empresa usa a Netshoes como canal de vendas ou integra a ValeCard para gestão de benefícios, seus dados — e os dados de seus colaboradores e clientes — transitam por esses ambientes. Uma falha no elo mais fraco da cadeia expõe toda a rede.

O que muda na prática para quem tem parceiros grandes

1. Cláusulas contratuais de segurança não são burocracia. Qualquer contrato com fornecedores que processem dados pessoais precisa ter SLAs de segurança, obrigação de notificação de incidentes em até 72 horas (exigência da LGPD, artigo 48) e direito de auditoria. Se o contrato com sua plataforma de e-commerce ou gestora de benefícios não tiver isso, renegocie agora.

2. Mapeamento de dados de terceiros é parte do seu DPIA. O Data Protection Impact Assessment não termina na porta da sua empresa. Todo dado que você compartilha com terceiros precisa estar mapeado, com o nível de proteção exigido documentado. Se a ValeCard não criptografava dados em repouso, você precisava saber disso antes do incidente.

3. Monitoramento de dark web não é paranoia. Serviços como o Have I Been Pwned, o SpyCloud e soluções corporativas como Recorded Future e Flare permitem monitorar se credenciais ou dados da sua empresa aparecem em vazamentos. O custo de uma licença corporativa básica é fração do custo de uma notificação de incidente à ANPD.

O que a LGPD exige — e o que as empresas ainda não fazem

A Lei Geral de Proteção de Dados (Lei 13.709/2018) é clara: o controlador responde pelos danos causados por seus operadores. Se a ValeCard é operadora dos dados de uma PME, e ocorre um incidente, a PME como controladora também pode ser responsabilizada perante seus titulares de dados.

A ANPD ainda está construindo seu histórico de sanções, mas o precedente internacional — especialmente sob o GDPR europeu — mostra que ignorar a segurança de parceiros custou caro a empresas de todos os portes. A British Airways pagou £20 milhões em multa por falha de terceiro em 2020. O Brasil está no mesmo caminho.

O que fazer agora — lista curta, alta prioridade

• Audite seus fornecedores críticos que processam dados de colaboradores ou clientes. Peça evidências de testes de penetração anuais e certificações como ISO 27001 ou SOC 2.
• Revise privilégios de acesso a sistemas integrados via API com parceiros de e-commerce e benefícios. Acesso mínimo necessário não é opcional.
• Implemente MFA em todos os acessos administrativos, especialmente em integrações B2B. O Medusa frequentemente entra por credenciais válidas comprometidas.
• Teste seu plano de resposta a incidentes antes que você precise dele. Um exercício de tabletop com cenário de ransomware leva quatro horas e pode poupar semanas de caos.

---

Os incidentes da Netshoes e da ValeCard não são histórias sobre grandes empresas descuidadas. São histórias sobre como a segurança digital funciona em rede — e como cada elo fraco contamina os outros. Para PMEs brasileiras, a lição não é observar de longe. É entender que o próximo capítulo pode incluir o seu nome.