Quem usa a mesma senha em outros sites deve trocar, diz especialista após ataque a Americanas

“Outra precaução que todos devemos tomar é ficar atentos à mensagens com cobranças suspeitas. Podemos presumir que eventuais dados compartilhados com a Americanas [caso tenha havido algum vazamento], poderão ser por usados para golpes no futuro”, alerta o especialista no desenvolvimento de ferramentas de segurança digital .

“Desconfie mesmo se receber uma mensagem com seu nome, e-mail e endereço corretos, informando algum tipo de cobrança desconhecida”, diz Ayub.

O diretor da empresa de segurança Cipher, Fernando Amatte recomenda que os consumidores monitorem os sites até que eles sejam reestabelecidos. “Esse é um momento de ficar atento. Mesmo que os responsáveis pelo ataque não tenham acessado dados pessoais, criminosos são oportunistas, e podem se aproveitar dessa situação para enviar uma campanha de e-mail fraudulento em massa (phishing) com golpes diversos”, explica Amatte.

Os Procons Carioca e de SP notificaram a Americanas para que apresente explicações sobre as falhas em suas lojas virtuais. Os institutos desejam informações sobre os prazos de entrega e sobre o arrependimento de compras, trocas ou consertos considerando o período que os sites ficaram indisponíveis aos consumidores.

No Brasil, as informações sobre ataques a redes privadas costumam estar restritas ao que as empresas divulgam.

A Lei Geral de Proteção de Dados (LGPD), que impôs regras sobre o uso de dados pessoais dos brasileiros, diz que elas devem notificar seus clientes e a Autoridade Nacional de Proteção de Dados (ANPD) sobre “a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares”.

A lei não diz com clareza a quem cabe essa avaliação, nem o que caracteriza “risco ou dano relevante”. Hoje, a análise é realizada pela própria empresa que foi vítima.

“Algo que chama muita atenção é a dificuldade que eles [o time da Americanas S.A.] tiveram de subir uma página de aviso [nos sites, sobre a indisponibilidade]. O que faz com que a gente presuma que a missão do time de segurança da Americanas é maior do que a velocidade com que eles conseguem lidar com a situação”, avalia Ayub.

Os sites das lojas começaram a ter instabilidade no último sábado (19), quando a empresa citou ter identificado um “acesso indevido” e disse que “não havia evidência de comprometimento das bases da dados”. No dia seguinte, as páginas saíram do ar novamente e não foram restauradas até a última atualização desta reportagem.

Até o fim da manhã desta segunda (20), quem tentava entrar encontrava uma mensagem de “erro de DNS”, que significa que o “endereço” da página não estava disponível (veja abaixo).

Só por volta do meio-dia é que passou a aparecer um aviso feito pelas Americanas sobre a indisponibilidade, sem informações além do que já havia sido divulgado pela assessoria de imprensa do grupo. A mesma mensagem entrou um pouco mais tarde no site do Submarino.

Um tipo de ataque que vem crescendo nos últimos anos no mundo é o chamado ransomware, em que um vírus “tranca” as informações dos sistemas e impede o acesso a elas. Os criminosos, então, exigem o pagamento de um resgate para entregar uma senha que desbloqueia os dados.

Foi o que aconteceu com a JBS, maior processadora de carnes do mundo, em maio do ano passado. Um ataque desse tipo que interrompeu de suas operações na Austrália, no Canadá e nos Estados Unidos. O caso veio à tona porque o FBI passou a investigá-lo e confirmou que se tratava de ransomware. E a empresa disse ter pago US$ 11 milhões em resgate aos hackers.

Casos de sites que saíram do ar, como o da rede Fleury, de medicina diagnóstica, também em 2021, e das Lojas Renner, no mesmo ano, não foram confirmados pelas empresas nem por autoridades como tendo sido ransomware ou outro tipo de ataque hacker.

Em dezembro, a plataforma que reúne informações sobre casos e mortes por causa de Covid-19, o e-SUS Notifica, ficou 11 dias fora do ar devido a um ataque hacker. A página do ConecteSUS, responsável pela emissão do Certificado Nacional de Vacinação Covid-19, também ficou fora do ar.

O “Lapsus$ Group” assumiu a autoria do ataque. Durante as primeiras horas, os sites do Ministério da Saúde e do ConecteSUS tinham a mensagem “nos contate caso queiram o retorno dos dados”.