Rede britânica Co-op confirma roubo de dados de 6,5 milhões de clientes em ataque de abril

A varejista britânica Co-operative Group (Co-op) confirmou que informações pessoais de todos os seus 6,5 milhões de membros foram copiadas por invasores durante um ataque cibernético ocorrido em abril. A confirmação foi feita pela diretora-executiva da companhia, Shirine Khoury-Haq, em entrevista à BBC. Segundo a executiva, os criminosos obtiveram acesso à lista completa de associados, que contém nomes, endereços e dados de contato.

De acordo com o relato, a Co-op desligou sua rede corporativa assim que detectou a intrusão, evitando que o grupo de hackers criptografasse servidores ou estações de trabalho com ransomware. Ainda assim, o desligamento preventivo provocou forte impacto operacional: processos administrativos foram interrompidos e supermercados da rede em todo o Reino Unido enfrentaram problemas internos de logística e atendimento.

Campanha mais ampla contra o varejo britânico

O incidente faz parte de uma ofensiva maior que teve como alvo empresas do setor de varejo no país. Na mesma campanha, dados de clientes da Marks & Spencer foram extraídos e a loja de departamentos Harrods sofreu uma tentativa de ataque que não chegou a ser concluída. As investigações apontam para o coletivo conhecido como Scattered Spider, formado predominantemente por jovens que utilizam engenharia social para enganar equipes de suporte técnico e obter credenciais de acesso.

As autoridades britânicas prenderam, no início de julho, quatro suspeitos de envolvimento na série de invasões: uma mulher de 20 anos, dois homens de 19 e um adolescente de 17. Eles respondem por acusações de invasão de sistemas, extorsão e participação em organização criminosa.

Setores em novo foco e riscos financeiros

Após a sequência de ataques contra redes varejistas, os mesmos hackers teriam passado a mirar companhias aéreas, empresas de transporte e seguradoras, segmentos que concentram grandes volumes de dados sensíveis de consumidores. Especialistas em segurança alertam que a mudança de foco mantém elevado o risco para empresas que armazenam informações pessoais em larga escala.

O impacto financeiro exato para a Co-op ainda não foi calculado. Publicações do setor afirmam que o grupo não dispunha de apólice de seguro contra incidentes cibernéticos no momento do ataque, o que pode resultar em custos significativos com investigações, mitigação, melhorias de infraestrutura e eventuais processos judiciais.

Nos termos da legislação britânica de proteção de dados, empresas que sofrem vazamentos desse porte devem notificar a autoridade reguladora e podem ser multadas se falharem em adotar medidas adequadas de segurança. Além de multas, a varejista poderá enfrentar despesas com comunicação a clientes, serviços de monitoramento de crédito e reforço de processos internos de segurança.

A Co-op informou que investe em medidas adicionais para reduzir vulnerabilidades e que colabora com especialistas externos e órgãos governamentais na apuração do episódio. Até o momento, não há indícios de uso fraudulento em larga escala das informações obtidas, mas a recomendação para os membros é reforçar cuidados com e-mails ou mensagens suspeitas e monitorar atividades financeiras.

O caso da Co-op ilustra a crescente sofisticação de grupos que combinam técnicas de engenharia social e ataques de ransomware. Para especialistas, o incidente reforça a necessidade de políticas de autenticação mais robustas, treinamento contínuo de funcionários e adoção de planos de contingência capazes de minimizar danos quando invasões ocorrem.