Cibersegurança na moda: H&M investiga possível ataque hacker

O Grupo H&M, proprietário de marcas como H&M, COS, ARKET e Monki, está investigando relatos de um possível incidente de segurança cibernética envolvendo parte de seus dados. Segundo informações divulgadas pelo jornal The Times, o grupo de criminosos conhecido como ShinyHunters teria alegado ter acessado informações da companhia.

Imagem/reprodução: Google

Em comunicado ao jornal, a H&M afirmou estar ciente das alegações e informou que investiga sua veracidade. A empresa declarou que, até o momento, não identificou indícios de comprometimento de seu ambiente de dados. Portanto, o incidente ainda não foi confirmado publicamente.

O caso ocorre em um contexto de crescente preocupação com ataques cibernéticos nos setores de moda, varejo e luxo. A reportagem também menciona possíveis conexões com um ataque recente à ASOS, mas ainda não há confirmação de que os episódios estejam relacionados ou de que o mesmo método tenha sido utilizado contra a H&M.

O que se sabe sobre a investigação envolvendo a H&M?

A possível ocorrência de um ataque cibernético contra o Grupo H&M amplia as preocupações com a segurança digital no varejo de moda. A empresa reúne diferentes marcas e opera em um mercado que depende cada vez mais de plataformas digitais, sistemas de pagamento, programas de relacionamento com clientes e infraestrutura tecnológica para administrar suas operações.

De acordo com a reportagem, o grupo criminoso conhecido como ShinyHunters teria acessado parte dos dados da companhia. Ao se pronunciar sobre o assunto, a H&M afirmou que estava investigando as alegações e que, naquele momento, não havia identificado indícios de comprometimento de seu ambiente de dados.

Essa distinção é importante. A divulgação de uma alegação por um grupo criminoso não comprova, por si só, que o acesso indevido ocorreu, quais informações poderiam ter sido afetadas ou se dados pessoais foram efetivamente expostos. Essas conclusões dependem de investigação técnica e da avaliação das evidências disponíveis.

O The Times também mencionou possíveis conexões entre o episódio e um ataque recente à ASOS. Segundo a publicação, o incidente envolvendo a varejista teria ocorrido após um indivíduo se passar por uma pessoa de confiança para induzir um funcionário a fornecer suas credenciais de acesso. Ainda não há confirmação de que a H&M tenha sido atacada por meio da mesma técnica ou de que os dois casos tenham sido conduzidos pelo mesmo grupo.

A reportagem insere o episódio em uma sequência de incidentes cibernéticos que têm chamado a atenção nos setores de moda, varejo e luxo. Entre as empresas mencionadas estão M&S, Gucci, Balenciaga, McQueen, Adidas, Harrods, Dior e Louis Vuitton. A existência de relatos envolvendo diferentes companhias evidencia a relevância da segurança digital para o setor, embora cada ocorrência exija apuração própria.

Por que os ataques cibernéticos representam um risco para as empresas de moda?

A transformação digital modificou a forma como as marcas de moda se relacionam com consumidores, fornecedores e parceiros comerciais. As operações podem envolver lojas virtuais, aplicativos, sistemas de pagamento, programas de fidelidade, plataformas de atendimento, ferramentas de marketing e bancos de dados que concentram informações de diferentes naturezas.

Essa infraestrutura pode armazenar dados pessoais, como nomes, endereços, contatos, históricos de compra e informações de cadastro. Também pode conter documentos internos, dados de funcionários, informações comerciais confidenciais e credenciais de acesso a sistemas corporativos.

Um ataque pode afetar esses recursos de maneiras distintas. Em alguns casos, criminosos tentam obter informações e exigir pagamentos para não divulgá-las. Em outros, buscam interromper sistemas, obter credenciais ou utilizar o acesso inicial para alcançar ambientes adicionais. A exposição efetiva de dados, porém, precisa ser confirmada a partir dos elementos de cada caso.

Para uma marca de moda, as consequências podem ultrapassar o prejuízo técnico imediato. A indisponibilidade de uma loja virtual pode comprometer vendas, campanhas e entregas. A exposição de informações pessoais pode afetar a confiança dos consumidores. Já o acesso a dados comerciais confidenciais pode criar riscos relacionados a negociações, estratégias de lançamento e relações com parceiros.

A dimensão reputacional também merece atenção. Marcas de moda investem recursos consideráveis na construção de sua identidade e no relacionamento com o público. A percepção de que informações pessoais não estão sendo adequadamente protegidas pode prejudicar essa relação, sobretudo quando a empresa não consegue comunicar com clareza o que aconteceu e quais medidas estão sendo adotadas.

Esses riscos não significam que toda empresa atingida por um ataque tenha necessariamente cometido uma infração legal. A avaliação jurídica depende das circunstâncias, das medidas de segurança implementadas, da natureza dos dados envolvidos e do cumprimento das obrigações aplicáveis.

O que a LGPD determina em caso de incidente de segurança?

No Brasil, a Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018) estabelece regras para o tratamento de dados pessoais e prevê obrigações de segurança para agentes de tratamento. O artigo 46 determina que sejam adotadas medidas técnicas e administrativas aptas a proteger os dados pessoais contra acessos não autorizados e situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito.

A obrigação não se resume à existência de uma política de privacidade. As medidas precisam ser compatíveis com os riscos do tratamento realizado, com a natureza das informações e com as características das operações da empresa. Controles de acesso, gestão de credenciais, monitoramento, capacitação dos funcionários, procedimentos de resposta e avaliação de fornecedores podem integrar uma estratégia de proteção.

A LGPD também prevê, em seu artigo 48, a comunicação de incidentes de segurança que possam acarretar risco ou dano relevante aos titulares. A regulamentação da Autoridade Nacional de Proteção de Dados, especialmente a Resolução CD/ANPD nº 15/2024, estabelece regras para a comunicação desses incidentes, incluindo o prazo regulamentar de três dias úteis, contado nos termos da norma, para a comunicação à ANPD e aos titulares afetados, quando aplicável.

Isso não significa que todo ataque cibernético deva ser comunicado automaticamente como uma violação de dados pessoais. É necessário avaliar se houve um incidente envolvendo dados pessoais, quais consequências podem decorrer dele e se estão presentes os critérios que tornam a comunicação obrigatória. A análise deve considerar a legislação vigente e as circunstâncias concretas.

No caso da H&M, não é possível concluir, com base nas informações divulgadas, que houve violação de dados pessoais ou que alguma obrigação de notificação foi descumprida. A empresa informou que estava investigando as alegações e que não havia identificado, até aquele momento, indícios de comprometimento de seu ambiente de dados. Além disso, a aplicação da legislação brasileira a uma empresa estrangeira depende dos critérios de incidência territorial previstos na LGPD.

Para marcas que atuam no Brasil e em outros países, a análise pode envolver mais de um regime jurídico. Dependendo da operação e das pessoas afetadas, regras estrangeiras de proteção de dados, como o Regulamento Geral sobre a Proteção de Dados da União Europeia (GDPR), também podem ser relevantes.

Engenharia social e responsabilidade na segurança da informação

A referência ao ataque à ASOS chama a atenção para um dos pontos vulneráveis das estruturas corporativas: o fator humano. Na chamada engenharia social, criminosos utilizam manipulação, falsa identidade ou relações de confiança para convencer pessoas a revelar informações ou executar ações que facilitem um acesso indevido. Uma mensagem aparentemente legítima, uma solicitação urgente ou a falsa identidade de um colega ou fornecedor podem ser suficientes para levar um funcionário a compartilhar credenciais.

Isso demonstra por que a segurança digital não depende exclusivamente de ferramentas tecnológicas. Os procedimentos internos e a capacitação das equipes também são relevantes.

Empresas de moda podem reduzir esses riscos por meio de treinamentos periódicos, autenticação multifator, controle de privilégios, verificação de solicitações incomuns e canais claros para reportar tentativas suspeitas. O acesso aos sistemas deve ser limitado às necessidades profissionais de cada pessoa, com revisão periódica das permissões concedidas.

Do ponto de vista jurídico, a existência de controles documentados e de procedimentos efetivamente aplicados pode contribuir para demonstrar como a organização administra seus riscos. Entretanto, nenhuma medida isolada garante a prevenção de todos os ataques, e a adoção de mecanismos de segurança não afasta automaticamente toda possibilidade de responsabilidade.

Como as marcas de moda podem se preparar para um incidente?

Uma estratégia de segurança adequada começa antes da ocorrência de um ataque. A empresa precisa conhecer os dados que coleta, os sistemas em que são armazenados, as pessoas que podem acessá-los e os fornecedores que participam de seu tratamento. Esse mapeamento ajuda a identificar pontos vulneráveis e a definir prioridades de proteção.

Os contratos com prestadores de serviços tecnológicos, plataformas de comércio eletrônico, operadores logísticos e empresas de marketing também merecem atenção. Conforme a relação estabelecida, os instrumentos contratuais podem definir responsabilidades de segurança, padrões mínimos de proteção, procedimentos de comunicação, cooperação em investigações e regras para a gestão de incidentes.

Essas disposições devem refletir a operação real e as obrigações legais aplicáveis. Uma cláusula contratual não elimina, por si só, os deveres que a legislação atribui a cada agente, mas pode ajudar a organizar responsabilidades e facilitar a resposta quando um problema ocorre.

Também é importante manter um plano de resposta a incidentes. Ele deve estabelecer quem conduz a investigação, como os sistemas afetados serão isolados, de que forma as evidências serão preservadas e quais áreas precisam participar das decisões. As equipes de tecnologia, jurídico, privacidade, comunicação e gestão devem saber como atuar em conjunto.

Quando houver indícios de comprometimento, a empresa precisa apurar a natureza do incidente, identificar os sistemas e as informações potencialmente afetados, avaliar os riscos para os titulares e verificar se existem deveres de comunicação. A divulgação pública deve ser cuidadosa e baseada em informações verificadas, evitando afirmações prematuras sobre a extensão do ataque ou a identidade dos responsáveis.

A preparação também deve considerar a continuidade do negócio. Para uma varejista de moda, a indisponibilidade dos sistemas de venda pode afetar diretamente pedidos, pagamentos, atendimento e logística. Procedimentos de recuperação e alternativas operacionais podem reduzir o impacto de interrupções e ajudar a restabelecer as atividades com segurança.

Por que a cibersegurança também é uma questão de Fashion Law?

O Fashion Law abrange as questões jurídicas que acompanham a indústria da moda, incluindo propriedade intelectual, contratos, relações de consumo, direito empresarial, publicidade, relações de trabalho e proteção de dados pessoais. A segurança cibernética se relaciona com essa área porque os riscos digitais podem afetar simultaneamente a operação comercial, os direitos dos consumidores e as obrigações legais das empresas.

O possível incidente envolvendo a H&M reforça que a gestão jurídica de uma marca não se limita à proteção de seu nome, de seus desenhos ou de suas criações. Também envolve a forma como a empresa administra informações, contrata fornecedores, organiza seus processos internos e responde a situações que podem comprometer seus sistemas.

Para negócios de moda que vendem on-line, o tema é particularmente relevante. A confiança do consumidor depende não apenas da qualidade dos produtos e da experiência de compra, mas também da capacidade da empresa de tratar informações pessoais com responsabilidade.

A investigação envolvendo a H&M ainda precisa esclarecer se houve comprometimento de dados. Até que existam informações confirmadas, é necessário preservar essa distinção. Ainda assim, o episódio oferece uma oportunidade para que empresas do setor revisem seus procedimentos de segurança, avaliem os contratos com fornecedores e verifiquem se estão preparadas para responder a incidentes.

A prevenção, a conformidade jurídica e a atuação coordenada entre as áreas técnicas e jurídicas são elementos importantes para reduzir riscos e proteger a continuidade dos negócios. Em um mercado cada vez mais digitalizado, a segurança da informação deve ser considerada parte da estratégia empresarial das marcas de moda.

Se você ou a sua marca está enfrentando situações relacionadas à propriedade intelectual, contratos, cópia de produtos, concorrência desleal ou demais questões envolvendo a indústria da moda, entre em contato com o Carolina Lago Advocacia através do link: https://wa.me/message/NEZI63N53Y5UK1 e fale com um especialista.

Para acompanhar matérias como esta, assine a nossa newsletter e receba diariamente notícias e atualizações exclusivas sobre Fashion Law: https://www.juridicofashion.com/newsletter-jurídico-fashion