Sete semanas sem vendas online: o caso que virou linha de balanço
Em abril de 2025, a varejista britânica Marks & Spencer foi alvo de um ataque cibernético de grande repercussão internacional. A companhia suspendeu os pedidos pelo site e pelo aplicativo por cerca de sete semanas, aproximadamente 46 dias, e enfrentou falhas em pagamentos por aproximação e desabastecimento em lojas físicas, conforme cobertura do BleepingComputer. Para uma operação de varejo, isso significa que o canal digital deixou de existir por mais de um mês inteiro.
A M&S confirmou publicamente que dados pessoais de clientes foram acessados, ainda que tenha declarado que dados completos de cartões e senhas não faziam parte do conjunto afetado. Reportagens de veículos especializados atribuíram o incidente ao grupo conhecido como Scattered Spider, com uso do ransomware DragonForce. Vale separar o que é comunicado oficial do que é atribuição jornalística: a empresa confirmou o acesso a dados, enquanto autoria e família de ransomware circularam pela imprensa.
O número que prendeu a atenção do mercado veio depois. Em comunicado a investidores, a companhia estimou impacto de cerca de £300 milhões no lucro operacional do exercício, algo próximo de US$ 400 milhões, parcialmente compensado por seguro e outras medidas de mitigação. É um dos registros mais bem documentados de como um incidente cibernético deixa de ser um problema de TI e se torna um evento de resultado, com efeito sobre receita, reputação e valor de mercado.
Nada disso é exclusividade de gigantes. O custo médio global de uma violação de dados foi de US$ 4,88 milhões em 2024, segundo o Cost of a Data Breach Report da IBM. Empresas de médio porte não têm £300 milhões de lucro operacional para absorver o choque, nem apólice robusta, nem estrutura jurídica dedicada. A manchete é menor, e a chance de não sobreviver ao intervalo é maior.
Vetores que incidentes como este costumam explorar
Os detalhes internos do incidente não são públicos, e nenhuma análise externa pode afirmar o que falhou dentro da organização. O que se pode fazer, com utilidade real para quem decide, é olhar para os vetores que ataques dessa natureza contra grandes operações geralmente exploram, e usá-los como espelho da própria estrutura.
Engenharia social contra pessoas, não contra firewalls. Grupos que atuam nesse perfil são conhecidos por ligar para centrais de suporte se passando por funcionários e solicitar redefinição de senha ou cadastro de um novo dispositivo de autenticação. Imagine o cenário na sua empresa: alguém liga para o suporte às 19h de uma sexta-feira, cita o nome do gestor da área, informa matrícula e data de nascimento obtidos em redes sociais e alega ter perdido o celular corporativo. Se a verificação de identidade depender do bom senso do atendente, o invasor não precisa de nenhuma vulnerabilidade técnica. Segundo o Data Breach Investigations Report da Verizon de 2024, 68% das violações envolveram um elemento humano não malicioso.
Credenciais válidas e acessos de terceiros esquecidos. Boa parte dos acessos iniciais não é invasão, é login. Contas de fornecedores de sistemas, integradores e prestadores costumam permanecer com privilégio administrativo permanente, sem expiração e sem autenticação multifator. O cenário prático é conhecido: um usuário de VPN criado para um projeto de migração encerrado dois anos antes, com senha reaproveitada em um serviço pessoal que vazou. Do ponto de vista do sistema, quem entra é um usuário legítimo em horário legítimo.
Rede plana e privilégios excessivos. A diferença entre um incidente de uma máquina e uma parada de semanas quase sempre está no que acontece depois do primeiro acesso. Quando ERP, servidor de arquivos, sistema de estoque, frente de caixa e ambiente de backup convivem na mesma rede sem segmentação, e a mesma conta administrativa local existe em todos eles, o atacante percorre a operação inteira em horas. Segmentação não impede a entrada, ela limita o tamanho do estrago.
Proteção em camadas: o que pode ser feito na sua estrutura
Detecção comportamental com resposta. O antivírus tradicional compara arquivos com assinaturas conhecidas. O EDR (Endpoint Detection and Response, detecção e resposta em terminais) observa comportamento, e por isso enxerga uma conta de serviço que começa a apagar cópias de sombra de madrugada mesmo sem malware catalogado. Combinado a monitoramento proativo 24/7 com triagem humana, o alerta vira contenção. Sem plantão, o alerta apenas espera o expediente começar, e o Cost of a Data Breach Report da IBM de 2024 aponta média de 258 dias para identificar e conter uma violação.
Backup isolado, imutável e testado. Em 94% dos ataques de ransomware os criminosos tentaram comprometer os backups da vítima, segundo o State of Ransomware 2024 da Sophos. Cópia acessível pela mesma rede e pelas mesmas credenciais do ambiente produtivo é um ativo do atacante. Uma estratégia madura de backup e recuperação de desastres prevê isolamento lógico, criptografia, imutabilidade e restauração completa testada em calendário fixo.
Identidade e superfície sob controle. Autenticação multifator resistente a phishing em todos os acessos externos, revisão periódica de contas privilegiadas, remoção de acessos de terceiros ao fim do contrato e gestão contínua de patches formam a camada mais barata e a mais adiada. Correção aplicada em janela definida, com inventário atualizado, elimina a maior parte das oportunidades automatizadas.
Pessoas treinadas e crise ensaiada. Treinamento contínuo com simulações de phishing e roteiro formal de verificação de identidade no suporte reduz o vetor humano de forma mensurável. Ao lado disso, um plano de resposta a incidentes documentado, com papéis definidos, árvore de comunicação, critérios para desligar sistemas e contatos jurídicos, precisa ser exercitado. Em regimes como GDPR e LGPD, prazos de notificação correm enquanto a operação ainda está apagando incêndio.
Perguntas que todo decisor deveria se fazer agora
Antes de qualquer orçamento, três perguntas separam quem tem uma estratégia de quem tem um conjunto de ferramentas:
- Meus backups realmente funcionariam num desastre como esse? Em quanto tempo minha operação volta ao ar?
- Minha equipe conta com as ferramentas certas para identificar e bloquear um ataque antes do desastre? Como estou investindo no preparo dela?
- Quanto tempo minha empresa sobreviveria sem acesso aos sistemas e arquivos?
Meus backups realmente funcionariam num desastre como esse? Em quanto tempo minha operação volta ao ar?
Existir backup não é o mesmo que ter capacidade de recuperação. Cópias acessíveis pela mesma rede e pelas mesmas credenciais do ambiente produtivo são alvo prioritário, e é por isso que backup que serve num desastre é isolado, criptografado, imutável e validado com restauração completa e cronometrada. É esse teste que transforma RTO e RPO em números defensáveis diante do conselho, em vez de uma intenção escrita em política e nunca exercitada.
Minha equipe conta com as ferramentas certas para identificar e bloquear um ataque antes do desastre?
São duas camadas distintas. Em ferramentas, a diferença prática está entre a detecção por assinatura e a detecção comportamental com capacidade de isolar o terminal automaticamente. Detecção sem quem responda é alerta em fila, por isso o monitoramento contínuo com triagem humana pesa tanto quanto o agente instalado, algo que uma operação de segurança gerenciada sustenta fora do horário comercial. Em preparo, o barato costuma ser o negligenciado: verificação formal de identidade no suporte, simulações de phishing com métrica por área e um plano de resposta ensaiado ao menos uma vez por ano.
Quanto tempo minha empresa sobreviveria sem acesso aos sistemas e arquivos?
Essa pergunta converte segurança em linguagem de negócio. A Marks & Spencer atravessou cerca de 46 dias sem vendas online porque tinha caixa, seguro e uma marca centenária para sustentar o intervalo. Poucas empresas têm essa margem. Calcular receita por hora parada, somar mão de obra ociosa, multas contratuais e perda de clientes produz um número que costuma surpreender a diretoria. Com ele em mãos, o custo anual de monitoramento, gestão de patches, backup isolado e resposta a incidentes deixa de ser despesa e vira comparação direta com uma semana de operação interrompida.
Perguntas frequentes
O que o caso Marks & Spencer revela sobre o risco cibernético em operações que dependem de sistemas?
O ataque de abril de 2025 manteve as vendas online da varejista suspensas por cerca de 46 dias e teve impacto estimado pela própria companhia em torno de £300 milhões no lucro operacional do exercício. O caso mostra que a perda financeira principal não vem do resgate, e sim da interrupção prolongada da operação. Empresas sem caixa, seguro e marca consolidada tendem a sofrer proporcionalmente mais com o mesmo intervalo de indisponibilidade.
Como saber se meu backup resistiria a um ataque de ransomware?
Um backup só é confiável quando está isolado da rede produtiva, protegido por credenciais distintas, criptografado e armazenado em formato imutável, que impede alteração ou exclusão dentro de um período definido. O teste decisivo é a restauração completa e cronometrada de um sistema crítico, executada em calendário fixo. Painel de status em verde não comprova recuperação, apenas indica que a rotina de cópia foi executada.
Qual a diferença entre antivírus tradicional e EDR?
O antivírus tradicional identifica ameaças comparando arquivos com uma base de assinaturas já conhecidas, o que o deixa cego diante de código novo ou de abuso de ferramentas legítimas do sistema. O EDR, sigla de Endpoint Detection and Response, analisa o comportamento dos processos e permite isolar automaticamente um terminal comprometido. Seu valor real depende de haver monitoramento e resposta humana disponíveis fora do horário comercial, quando a maioria dos ataques avança.
Se sua empresa ainda não conta com uma estratégia integrada de proteção em camadas, considere realizar um Diagnóstico Estratégico de TI, sem compromisso, para identificar vulnerabilidades antes que elas virem manchete.