Unit 42 mapeia ameaças ao varejo na alta temporada de vendas

A Unit 42, divisão de pesquisa de ameaças da Palo Alto Networks, publicou em 28 de outubro de 2026 um levantamento das ameaças ao varejo que se concentram no período de maior faturamento do ano. O texto, assinado por Matt Brady e Christa McHugh, organiza o problema em duas frentes — ataques contra a empresa e ataques contra o cliente final — e traz números próprios sobre ransomware no setor.

A data importa. A Black Friday de 2026 cai em 27 de novembro e a Cyber Monday em 30 de novembro, o que significa que as equipes de segurança do varejo estão entrando agora na janela em que mudanças de configuração costumam ser congeladas para preservar a estabilidade das plataformas de venda. É justamente essa combinação — receita concentrada e capacidade de reação reduzida — que a pesquisa aponta como o atrativo do período para quem ataca.

O documento também registra uma mudança de natureza, e não só de volume: a Unit 42 afirma que a previsão que ela própria fez em maio de 2026, de que atacantes passariam a usar modelos de IA de fronteira em um prazo de três a cinco meses, já se concretizou, e cita casos em que a IA assumiu etapas inteiras da intrusão.

Contexto: por que a alta temporada é diferente

A referência de escala vem de dados da Salesforce sobre a temporada de 2025: entre 1º de novembro e 31 de dezembro daquele ano, as vendas on-line somaram US$ 1,29 trilhão no mundo, dos quais US$ 294 bilhões nos Estados Unidos, com US$ 262 bilhões de receita influenciada por IA e agentes. A National Retail Federation havia projetado que as vendas do varejo norte-americano superariam US$ 1 trilhão pela primeira vez.

Sobre a dificuldade de reagir no período, a Unit 42 recorre a dois precedentes conhecidos: o comprometimento da cadeia de suprimentos da SolarWinds, em dezembro de 2020, e a exploração do zero-day no Log4j, em dezembro de 2021. Nos dois casos os eventos caíram quando congelamentos de código já estavam em vigor, limitando a capacidade de alterar sistemas críticos sem risco operacional.

Uma ressalva de leitura: os números são predominantemente norte-americanos e globais, sem dados específicos do varejo brasileiro. As táticas descritas, porém, não são regionais, e o calendário da Black Friday é o mesmo.

Frente corporativa: as ameaças ao varejo que atingem a operação

Ransomware. É o número mais concreto do levantamento: até 30 de setembro de 2026, operadores de ransomware reivindicaram 565 organizações do varejo como vítimas no ano, com receita mediana das empresas atingidas em torno de US$ 22 milhões — ou seja, o alvo típico não é a gigante do setor, e sim a empresa de médio porte. Os três operadores com mais vítimas declaradas no varejo são rastreados pela Unit 42 como TGR-CRI-1173 (também conhecido como The Gentlemen), Spikey Scorpius (Qilin) e Howling Scorpius (Akira). É importante registrar que se trata de vítimas reivindicadas pelos próprios grupos em seus sites de extorsão, não de incidentes confirmados de forma independente.

Roubo de dados e extorsão sem cifragem. A pesquisa aponta a continuidade da tendência em que grupos como Bling Libra (ShinyHunters) e Hazy Scorpius (CL0P) abandonam a cifragem e ficam apenas com a exfiltração e a chantagem, encurtando o ciclo do ataque sem perder o resultado. O texto cita um percentual extraído do relatório global de resposta a incidentes de 2026 da própria Unit 42, mas a formulação da frase é ambígua quanto ao que o número mede, e não foi possível confirmá-lo na página pública do relatório — por isso ele não é reproduzido aqui. O exemplo histórico dado é de dezembro de 2021, quando o Bling Libra levou centenas de gigabytes de uma vítima, incluindo e-mails de clientes, senhas com hash, faturas de pagamento e arquivos internos de funcionários com salários e identificadores fiscais.

DDoS. O risco aqui é puramente de disponibilidade, e o exemplo é recente: durante o pico de dezembro de 2025, o grupo hacktivista pró-Rússia Noname057(16) usou a botnet DDoSia para disparar inundações coordenadas de pacotes TCP SYN e requisições HTTP GET contra portais web e endpoints de API de uma vítima. O ataque derrubou sistemas centrais, paralisou ferramentas de rastreamento de encomendas, interrompeu serviços de pagamento a lojistas e atrasou o processamento de pacotes na rede de distribuição.

Skimming digital. Mesmo com as lojas de cartões clonados menos ativas do que em anos anteriores, a captura de dados de pagamento diretamente no checkout segue em uso. O caso citado é de outubro de 2024, quando atacantes não identificados exploraram a vulnerabilidade conhecida como CosmicSting (CVE-2024-34102) para executar código remotamente em servidores sem correção, instalar backdoors persistentes e injetar scripts de captura nos fluxos de pagamento — atingindo, segundo o levantamento, cerca de 5% de todas as lojas on-line rodando em plataformas de e-commerce proeminentes, às portas da Black Friday e da Cyber Monday daquele ano.

Frente do cliente: contas, cartões-presente e IA

Tomada de contas. O vetor é credential stuffing: bases de credenciais vazadas em outros serviços são testadas em massa contra as APIs de login do aplicativo e do site. O exemplo é de dezembro de 2022, quando scripts automatizados comprometeram milhares de contas de fidelidade, drenaram saldos de cartões-presente armazenados, desviaram fundos de pagamento móvel e coletaram pontos de recompensa antes de o acesso às contas ser anunciado em fóruns da dark web. O agravante no varejo é o cartão de pagamento salvo na conta.

Fraude de cartão-presente. A Unit 42 relembra a campanha Jingle Thief, divulgada em outubro de 2025 e ainda rastreada como CL-CRI-1032 (também identificado como Storm-0539). O método não começa no cliente, e sim no funcionário: mensagens de phishing e smishing levam colaboradores do varejo a entregar credenciais, os atacantes avançam pela infraestrutura em nuvem da empresa, chegam a dados sensíveis e passam a emitir cartões-presente não autorizados para monetizar em escala.

Ataques com IA. Esta é a parte nova do levantamento. A Unit 42 afirma ter divulgado um incidente em que um atacante humano usou modelos de IA de fronteira para conduzir autonomamente diversas etapas da intrusão, comprimindo o ataque para menos de dez horas — algo que, pela estimativa da equipe, exigiria vários operadores humanos e pelo menos duas semanas. O texto menciona ainda relatos convergentes de outros fornecedores: a Anthropic descrevendo o uso de seu modelo pelo Bling Libra para acelerar reconhecimento e exfiltração; a Gambit Security relatando um atacante que, com múltiplos arcabouços de código aberto, roubou mais de 600 mil registros de cartão de pagamento de varejistas usando skimmers em JavaScript; e a NorForge publicando achados sobre o uso de um agente autônomo de teste de intrusão chamado Cairn contra sites de e-commerce, infraestrutura de ponto de venda e aplicações web em escala global.

Esses relatos de terceiros são reportados pela Unit 42 e não foram verificados de forma independente para esta matéria. O ponto que importa não depende de cada número: se o tempo entre o acesso inicial e o objetivo do atacante cai de semanas para horas, o plantão reduzido de feriado deixa de ser detalhe de escala e passa a ser o fator decisivo. O Plugged Ninja já registrou essa tendência em casos como o abuso de identidade em Teams e Slack.

Possibilidades e limitações da leitura

O valor do levantamento está em reunir num só lugar as categorias de ataque que efetivamente se concentram no período, com exemplos datados e identificadores de grupos. A mediana de receita de US$ 22 milhões entre as vítimas de ransomware é especialmente útil porque desfaz a ideia de que o alvo é sempre a grande rede.

As limitações também pesam. O documento é publicado por um fornecedor de segurança e termina com recomendações amarradas ao portfólio da própria Palo Alto Networks — as medidas abaixo foram, por isso, traduzidas em práticas independentes de produto. Os exemplos históricos quase sempre omitem o nome da vítima, o que impede verificação caso a caso, e não há recorte brasileiro nem latino-americano nos números.

Recomendações para a janela de pico

• Trate o congelamento de mudanças como risco, não como proteção. Defina antes do início do congelamento um procedimento de exceção para correção de vulnerabilidade sob exploração ativa, com aprovação pré-acordada, para não precisar negociar isso no meio de um incidente.
• Revise e teste a segmentação de rede entre ambiente corporativo, plataforma de e-commerce e infraestrutura de ponto de venda, de modo que a queda ou o comprometimento de um não leve os outros.
• Reforce as APIs de login contra automação: limitação de taxa por origem e por conta, detecção de credenciais reutilizadas, exigência de segundo fator em operações sensíveis como resgate de saldo de cartão-presente e alteração de meio de pagamento.
• Monitore a integridade do checkout. Mantenha inventário dos scripts carregados nas páginas de pagamento, política de origem para esses scripts e alerta para qualquer inclusão nova. Skimming se sustenta em passar despercebido.
• Prepare o cenário de DDoS com antecedência: capacidade de absorção contratada, limitação dinâmica de requisições, filtragem automatizada e um plano de comunicação para a hipótese de indisponibilidade em dia de pico.
• Trate a equipe de atendimento e de operações de cartão-presente como alvo prioritário de phishing e smishing, com simulações específicas para o período e procedimento claro de verificação de pedidos de emissão em lote.
• Reduza o tempo de detecção e resposta. Centralize telemetria de endpoint, rede, nuvem e identidade em um único lugar, com capacidade de isolar máquina e invalidar sessão e credencial sem depender de quem está de plantão naquele dia.

Conclusão

O levantamento da Unit 42 não descreve nenhuma técnica inédita: ransomware, extorsão por roubo de dados, DDoS, skimming, credential stuffing e fraude de cartão-presente são todos conhecidos. O que ele acrescenta é a concentração dessas táticas em uma janela previsível de calendário e a observação de que o relógio do atacante acelerou — a parte do texto sobre uso de modelos de IA em etapas da intrusão é a mais relevante e também a que depende mais de relatos ainda não verificados de forma independente.

Para o varejo brasileiro, a leitura prática é que o trabalho útil acontece agora, nas semanas que antecedem 27 de novembro, e não durante o pico. O que observar a seguir: se os relatos de intrusões assistidas por IA no setor se confirmam em volume durante esta temporada, e se os grupos citados mantêm o varejo entre seus alvos preferenciais depois do fim do ano.

Fontes e referências

• Unit 42 (Palo Alto Networks) — Unwrapping Retail Peak Season Cyber Threats, por Matt Brady e Christa McHugh
• Unit 42 — An AI-Assisted Cyber Attack: Inside a Unit 42 Investigation
• Unit 42 — Jingle Thief: campanha de fraude de cartão-presente baseada em nuvem
• Unit 42 — AI, Automation and Attacks: Unpacking the Unit 42 2026 Global Incident Response Report
• Salesforce — Holiday Season Rakes in Record $1.29T for Retailers, Salesforce Data Shows