Duas ondas de ataques hackers aos supermercados, como os que ocorreram na Europa, poderiam causar um prejuízo de até R$ 800 milhões no Brasil. A simulação foi feita pela Neo Estech, e considera um total de cerca de 2.700 estabelecimentos que poderiam estar vulneráveis. 

 

Na primeira onda, em que os equipamentos passaram por 6 a 8 horas de aquecimento, o prejuízo poderia alcançar uma perda de cerca de R$ 150 mil por loja. Considerando danos equivalentes na segunda onda, as perdas totais poderiam se aproximar da casa do bilhão.

 

Os números levantam um alerta importante para o reforço da cibersegurança dos supermercados. Qualquer sistema que se conecte à alguma rede fica suscetível a ataques cibernéticos remotos. Mas o problema aumenta de acordo com o tipo das funcionalidades expostas. O insight é de Fábio Sartorato, coordenador de segurança cibernética do SiDi - Instituto de Ciência e Tecnologia focado em pesquisa, desenvolvimento e inovação. 

 

“Pensando em uma operação de supermercados, isso vai desde servidores e computadores tradicionais, até câmeras IP, equipamentos de acesso, painéis digitais, sensores e controladores utilizados na automação do ambiente”, explica o executivo. 

 

Vinicius Silva, especialista em Segurança da Informação do T2 Sec, destaca também os sistemas de refrigeração, climatização, câmeras, alarmes e controles de acesso como os mais suscetíveis a esses ataques. 

 

Segundo ele, o risco se agrava ainda mais quando esses dispositivos possuem acesso remoto, softwares desatualizados ou configurações inadequadas de segurança. “Os sistemas de refrigeração são especialmente críticos porque uma alteração de temperatura pode comprometer rapidamente grandes volumes de mercadorias.”

 

Outro ponto é a forma com a qual as empresas lidam com a cibersegurança. De acordo com Marta Schuh, diretora de Seguros Cibernéticos e Tecnológicos da Howden Brasil, ao olhar para a área apenas como um assunto de TI, focado na proteção de dados e cumprimento de regulamentações de privacidade, os investimentos ficam abaixo do necessário.

 

“Com a automação massiva dos pontos de venda, da logística e da cadeia de suprimentos, o risco cibernético se transformou em um risco operacional crítico”, pontua. “Hoje, um incidente digital não apenas vaza informações, mas fecha portas, esvazia prateleiras e paralisa a operação em tempo real, com potencial de causar prejuízos financeiros e danos reputacionais.”

 

Por que os supermercados são um alvo “fácil”?

 

O que faz com que supermercados estejam mais expostos a esse risco envolve, antes de tudo, a forma com a qual as principais tecnologias utilizadas operam. Muitas empresas do varejo alimentar usam sistemas embarcados que unem hardware e software para executar uma tarefa específica dentro de um equipamento ou sistema maior.

 

“Eles têm limitações de recursos e muitas vezes não contam com as mesmas camadas de proteção encontradas em computadores e celulares modernos”, explica Sartorato. “Nesses casos, parte da proteção precisa ser implementada externamente, através da rede e da própria arquitetura da infraestrutura.”

 

Silva acrescenta que equipamentos desatualizados, senhas fracas, acessos remotos desprotegidos, ausência de segmentação de rede e falta de monitoramento também são fatores que agravam a situação do setor.

“Muitos dispositivos de automação não recebem os mesmos cuidados de segurança aplicados aos computadores e servidores corporativos. Essa diferença na proteção cria oportunidades para os criminosos” – Vinicius Silva, especialista em Segurança da Informação do T2 Sec

O que motiva ataques como esse?

 

Devido à falta de informação ou pronunciamento oficial, não é possível saber exatamente qual foi a motivação por trás dos ataques da Europa. Porém, os executivos ponderam sobre o que normalmente está por trás de situações semelhantes:

 

• Ganho financeiro
• Espionagem corporativa ou governamental
• Hacktivism ou Ativismo Hacker
• Curiosidade, notoriedade ou reconhecimento técnico

 

“Nesse caso, por se tratar de uma infraestrutura física, também é importante considerar a possibilidade de que a motivação tenha sido simplesmente causar indisponibilidade ou prejuízo à operação”, sugere o coordenador de segurança cibernética do SiDi. “Essa ação poderia partir, por exemplo, de um concorrente interessado em prejudicar a operação.”

 

O especialista em Segurança da Informação do T2 Sec acrescenta que no setor supermercadista um criminoso não precisa roubar dados para causar prejuízos. “Basta comprometer os sistemas de refrigeração para provocar perdas expressivas de alimentos, interromper operações e colocar em risco a segurança dos consumidores.”

 

Automatização das lojas exige esforço redobrado da cibersegurança 

 

Uma das principais tendências tecnológicas do varejo alimentar é a automatização. Seja por meio dos self-checkouts, consultores robôs no PDV, painéis e etiquetas digitais, ou mesmo ferramentas para otimizar a parte operacional. Essas tecnologias já estão presentes em boa parte das lojas e tudo indica que isso só vai aumentar nos próximos anos. 

 

Mas isso também aumenta os riscos da empresa sofrer algum ataque.

“A segurança cibernética precisa fazer parte do projeto de automação desde o início, e não ser adicionada posteriormente” - Fábio Sartorato, coordenador de segurança cibernética do SiDi - Instituto de Ciência e Tecnologia focado em pesquisa, desenvolvimento e inovação.

De acordo com o coordenador todo o processo de segurança deve ser concebido a partir de 3 pilares: Integridade, Confiabilidade e Disponibilidade. “Desde a escolha de fornecedores que mantenham seus produtos atualizados, até a segmentação das redes, controle de acesso, monitoramento de atividades suspeitas e planejamento de contingências em casos de ataque”. Segundo ele, se um pilar falha, todo projeto pode ser prejudicado.

 

Silva também defende que o processo de segurança deve estar presente em todo o processo, principalmente com a automatização. “Isso não significa que a automação é insegura, mas que a proteção precisa acompanhar essa evolução. Não faz sentido investir em automação para ganhar eficiência e deixar a operação exposta a riscos que poderiam ser evitados”, conclui o especialista.

 

Marta acrescenta que embora a automação traga eficiência, velocidade e redução de custos, a segurança cibernética garante a resiliência e a continuidade dessas eficiências.

“Sem a segurança cibernética, a automação deixa de ser uma vantagem competitiva e passa a ser uma vulnerabilidade estrutural que pode resultar em prejuízos catastróficos” – Marta Schuh, diretora de Seguros Cibernéticos e Tecnológicos da Howden Brasil.

Os ataques aos supermercados da Europa

 

O primeiro ataque - França

 

No dia 12 de outubro, supermercados da França relataram ciberataques em seus sistemas de refrigeração. Os hackers assumiram os controles e elevaram as temperaturas dos refrigeradores para 50ºC provocando a perda de alimentos em centenas de lojas e até mesmo incêndios em algumas unidades. 

O Carrefour relatou que 80 de seus supermercados foram impactados no país e o Monoprix teve 5% de suas lojas afetadas.

 

A Les Mousquetaires, proprietária da bandeira Intermarché que possui quase 3.000 lojas na França, informou que cerca de 150 unidades tiveram os refrigeradores superaquecidos a 50ºC por seis horas durante a noite. 

Posteriormente, a polícia francesa informou que 500 supermercados foram afetados.

No mesmo mês, a Ahold Delhaize, responsável pelo Albert Heijn, maior varejo alimentar da Holanda, também relatou problemas e teve que desativar alguns sistemas por segurança. 

 

O 2º ataque - Ainda mais países afetados

 

Outro ataque ocorreu na última segunda-feira (02/11) e afetou principalmente os seguintes países: Bélgica, Luxemburgo, Suécia, Irlanda, Holanda, Estônia, Itália e Finlândia. As empresas relataram alterações nas geladeiras e freezers, e diversos alimentos tiveram de ser descartados.

 

Empresas que relataram problemas no primeiro ataque, como o Grupo Carrefour e Les Mousquetaires, sofreram novamente. Cada uma das empresas relatou que cerca de 15 de suas lojas na Bélgica foram afetadas. Já o Albert Heijn afirmou que dezenas de suas lojas no país e em Luxemburgo foram prejudicadas. 

 

Além dessas empresas, os ataques atingiram também: 

• Grupo Colruyt (Bélgica)
• ICA (Suécia)
• Coop (Suécia e Itália)
• De Laet & Van Haver (Bélgica)
• Ikea (Bélgica)
• Musgrave (Irlanda)
• Kesko (Finlândia)
• Selver (Estônia)