Varejo fica mais digital mas também fica mais exposto aos ciberataques

O varejo nunca soube tanto sobre seus clientes. Dados alimentam programas de relacionamento, campanhas personalizadas, sistemas de pagamento, preços, estoques, logística e, mais recentemente, aplicações de inteligência artificial.

Essa transformação trouxe eficiência e novas possibilidades comerciais. Mas produziu também um efeito colateral: quanto mais conectado está o varejo, maior é o número de portas que precisam ser protegidas.

Os incidentes de segurança e vazamentos de dados no setor mais que dobraram nos últimos três anos, segundo levantamento da Kaspersky. Entre as ameaças aparecem roubo de identidade, fraudes de reembolso, ransomware e o chamado web skimming, utilizado para capturar informações diretamente em páginas de pagamento.

O cenário mais recente reforça essa preocupação. Dados da própria Kaspersky mostram que, em 2025, 8,25% das empresas de varejo e e-commerce analisadas enfrentaram ransomware, enquanto o número de usuários corporativos que tiveram contato com esse tipo de ameaça aumentou 152% em comparação com 2023. A empresa identificou ainda 6,7 milhões de ataques de phishing direcionados a usuários de lojas online, serviços de entrega e sistemas de pagamento.

O dado virou patrimônio, e alvo

A questão é particularmente relevante porque praticamente todas as estratégias atuais de modernização do varejo dependem de informação.

Personalização de ofertas, automação logística, inteligência artificial e campanhas segmentadas exigem coleta, armazenamento e circulação de dados. Ao mesmo tempo, lojas estão conectadas a meios de pagamento, marketplaces, transportadoras, ERPs, plataformas de relacionamento e diversos outros serviços.

Um vazamento, portanto, deixou de representar apenas a perda de uma base de clientes.

Pode significar interrupção das vendas, fraudes, despesas jurídicas, sanções regulatórias, recuperação de sistemas e danos à reputação. Em grandes operações varejistas, o levantamento citado pela Kaspersky estima que os custos de recuperação podem chegar a US$ 91 milhões.

A porta de entrada pode estar dentro da empresa

Nem todo ataque começa com um sofisticado programa desenvolvido por criminosos. Muitas vezes, começa com um clique.

O levantamento aponta que falhas não intencionais estão relacionadas a parcela expressiva dos vazamentos. Entre elas aparecem abertura de e-mails de phishing, utilização de senhas fracas e uso inadequado de credenciais corporativas.

O problema não é exclusivo dessa pesquisa. O Data Breach Investigations Report da Verizon vem mostrando repetidamente a importância do componente humano nos incidentes de segurança. No relatório de 2024, 68% das violações analisadas envolviam algum elemento humano não malicioso, como erro ou vítima de engenharia social.

E as técnicas estão evoluindo. Faturas falsas, alteração de dados bancários e mensagens urgentes aparentemente enviadas por executivos ou fornecedores são algumas das estratégias utilizadas para convencer funcionários a transferir recursos ou entregar credenciais.

Para pequenas e médias lojas, isso traz uma mensagem importante: cibersegurança não é responsabilidade exclusiva do pessoal de TI.

Caixa, financeiro, vendas, compras e administração também fazem parte da proteção da empresa.

O pagamento continua sendo território sensível

Há outro ponto especialmente delicado para o varejo: o momento em que o dinheiro muda de mãos.

No comércio eletrônico, criminosos podem interceptar dados, manipular transações ou roubar credenciais durante o processo de compra. Mas a ameaça não termina na loja virtual.

Sistemas de ponto de venda das lojas físicas também podem se tornar portas de entrada quando estão conectados a cadastros de clientes, programas de fidelidade e redes corporativas.

Ou seja, a discussão já não é loja física versus e-commerce. Ambos estão conectados, e ambos precisam ser protegidos.

O ataque pode chegar pelo fornecedor

Talvez esta seja uma das mudanças mais importantes dos últimos anos.

Uma empresa pode cuidar de sua própria segurança e ainda assim ser atingida por uma vulnerabilidade existente em quem presta serviços para ela.

O varejo depende cada vez mais de fornecedores de software, serviços em nuvem, plataformas de pagamento, operadores logísticos e inúmeras outras empresas conectadas à sua operação. Segundo o levantamento apresentado no material, 30% dos ataques direcionados ao varejo envolveram parceiros comerciais ou fornecedores.

A tendência aparece também em pesquisas mais amplas. O relatório de 2025 da Verizon constatou que o envolvimento de terceiros nas violações analisadas dobrou e chegou a 30%. Já a edição de 2026 aponta avanço ainda maior: vulnerabilidades relacionadas à cadeia de terceiros passaram a estar envolvidas em 48% das violações analisadas globalmente. Isso muda a pergunta que o empresário precisa fazer.

Não basta mais saber “minha empresa está protegida?”. É necessário perguntar também: “quem está conectado à minha empresa e quão protegido ele está?”

Pequeno demais para ser atacado?

Essa talvez seja uma das crenças mais perigosas. Durante muito tempo, ataques sofisticados foram associados a bancos, grandes varejistas, multinacionais e governos. A disseminação de ferramentas criminosas, automação e inteligência artificial vem reduzindo as barreiras para realizar ataques mais complexos. O relatório da Kaspersky chama atenção justamente para a crescente exposição das empresas menores.

O Data Breach Investigations Report de 2025 chegou a apontar que pequenas e médias empresas estavam sendo alvo quase quatro vezes mais do que grandes organizações no universo analisado. E existe uma lógica econômica nisso.

O criminoso não precisa necessariamente encontrar uma empresa com milhões de clientes. Pode procurar aquela que possui a porta mais fácil de abrir.

Para o varejo de móveis, o alerta é o mesmo

Lojas de móveis e colchões talvez não se enxerguem imediatamente como empresas de dados. Mas são.

Guardam cadastros de consumidores, telefones, endereços, históricos de compras, informações financeiras e dados utilizados para entrega. Dependem de sistemas de gestão, vendedores conectados, meios de pagamento, transportadoras e fornecedores de tecnologia.

Quanto mais digitalizada fica a operação, maior precisa ser a preocupação com quem acessa cada informação, como as senhas são protegidas, quais sistemas estão atualizados, como os backups são realizados e quais parceiros têm acesso à rede.

O avanço da inteligência artificial torna essa discussão ainda mais urgente. A edição de 2026 do relatório da Verizon aponta que a IA está ajudando atacantes a explorar vulnerabilidades em intervalos cada vez menores, ao mesmo tempo em que o uso não autorizado de ferramentas de IA dentro das empresas cria novas possibilidades de vazamento de informações.

Digitalizar o varejo continua sendo necessário. Usar dados para conhecer o consumidor também. Integrar loja, estoque, pagamento, logística e relacionamento é praticamente inevitável.

Mas existe uma nova conta acompanhando toda essa evolução: quanto mais inteligente fica a loja, mais inteligente também precisa ficar sua segurança.