Cibersegurança na moda: o ataque à ASOS e os riscos jurídicos para o e-commerce de moda
A ASOS, gigante britânica do comércio eletrônico de moda, confirmou ter sido vítima de um incidente cibernético após clientes receberem notificações não autorizadas pelo aplicativo da empresa. As mensagens continham links para um canal no Telegram criado por um grupo de hackers que alegava ter comprometido sistemas relacionados ao armazenamento de dados.
Segundo o comunicado da varejista, informações pessoais básicas, como nomes e dados de contato, podem ter sido acessadas. A empresa afirmou não acreditar que senhas ou informações de cartões de pagamento tenham sido afetadas e informou que estava investigando o caso com especialistas e autoridades competentes. Até a conclusão das apurações, as alegações dos invasores devem ser tratadas como não verificadas.
Além dos possíveis impactos operacionais e financeiros, o episódio evidencia um risco importante para o comércio eletrônico: a perda de confiança dos consumidores. Quando criminosos conseguem utilizar canais associados a uma marca para disseminar mensagens fraudulentas, os clientes podem passar a desconfiar até mesmo de comunicações legítimas, abrindo espaço para novas tentativas de phishing.
A situação também levanta questões jurídicas relacionadas à proteção de dados pessoais, à segurança da informação e à responsabilidade das empresas que operam no ambiente digital. No Brasil, a Lei Geral de Proteção de Dados Pessoais (LGPD) estabelece obrigações para agentes de tratamento, incluindo medidas de segurança e procedimentos aplicáveis a incidentes que possam gerar riscos ou danos relevantes aos titulares.
No contexto do Fashion Law, o caso demonstra que a proteção jurídica de uma marca de moda não se limita ao registro de seu nome ou à defesa contra cópias. Também envolve a gestão de riscos digitais, a proteção das informações dos consumidores, a segurança das plataformas de venda e a preparação para incidentes que possam comprometer a reputação e a continuidade do negócio.
Para marcas de moda e empresas de e-commerce, investir em prevenção, contratos adequados com fornecedores de tecnologia e protocolos de resposta a incidentes é parte essencial de uma estratégia jurídica e empresarial responsável.
O que aconteceu com a ASOS?
O incidente veio à tona depois que clientes da ASOS receberam notificações não autorizadas por volta das 10h, no horário do Reino Unido. As mensagens direcionavam os destinatários a um canal recém-criado no Telegram, associado a um grupo de cibercriminosos identificado como Xuanye. O grupo alegava ter comprometido sistemas e instâncias relacionados à plataforma de dados em nuvem Snowflake.
Em seu comunicado, a ASOS informou que investigava atividades não autorizadas envolvendo plataformas de terceiros utilizadas para se comunicar com os clientes. A empresa afirmou ter adotado medidas imediatas para restringir o acesso às plataformas de notificação e estar trabalhando com especialistas internos e externos e com as autoridades competentes.
A varejista declarou que informações pessoais básicas, incluindo nomes e dados de contato, poderiam ter sido acessadas, mas que não acreditava haver comprometimento de dados de cartões de pagamento ou senhas de contas. Também informou que seu site e aplicativo continuavam funcionando normalmente.
Essas declarações precisam ser interpretadas com cautela. A continuidade dos serviços de comércio eletrônico não significa, necessariamente, que todos os sistemas e dados estejam seguros. Da mesma forma, a alegação dos invasores de que teriam comprometido integralmente uma plataforma não comprova, por si só, a extensão do acesso ou quais informações foram efetivamente obtidas.
A confirmação do incidente, portanto, não equivale à confirmação de todas as afirmações feitas pelos hackers. A extensão da exposição dos dados, os sistemas afetados e as possíveis consequências dependem das conclusões da investigação técnica.
Por que um incidente cibernético pode afetar tanto uma marca de moda?
O comércio eletrônico ocupa uma posição central na estratégia de inúmeras empresas de moda. Plataformas digitais, aplicativos, cadastros de clientes e ferramentas de comunicação permitem divulgar coleções, oferecer recomendações personalizadas, informar sobre pedidos e estimular novas compras. Essas operações, porém, dependem do tratamento de dados pessoais e da confiança dos consumidores.
Quando um canal de comunicação associado à marca é utilizado sem autorização, o problema ultrapassa a dimensão técnica. Os clientes podem deixar de confiar nas notificações recebidas, desativar alertas ou questionar a autenticidade de mensagens sobre pedidos, pagamentos e promoções. Isso prejudica a experiência de compra e pode comprometer a efetividade de ações legítimas de marketing e relacionamento.
A situação torna-se ainda mais delicada quando a marca é utilizada como instrumento de uma tentativa de extorsão. Ao entrar em contato diretamente com consumidores por meio de um canal reconhecido, o agente malicioso pode ampliar a visibilidade do incidente e pressionar a empresa por meio de danos reputacionais.
O impacto pode alcançar diferentes áreas do negócio, como atendimento ao consumidor, marketing, tecnologia, logística, gestão de fornecedores e comunicação institucional. A empresa pode precisar mobilizar equipes para investigar o incidente, avaliar a segurança dos sistemas, responder a dúvidas, reforçar controles e corrigir vulnerabilidades.
A depender da extensão dos fatos, também podem surgir despesas de recuperação, perda de vendas, questionamentos de consumidores e investidores e possíveis consequências regulatórias ou judiciais. A existência de um seguro cibernético, como o mencionado pela ASOS, pode ajudar a mitigar determinados prejuízos cobertos pela apólice, mas não elimina as obrigações legais nem garante o ressarcimento integral de todas as perdas.
LGPD e proteção de dados no comércio eletrônico de moda
Embora o incidente tenha ocorrido com uma empresa britânica, o caso é relevante para marcas brasileiras que vendem roupas, calçados, bolsas, acessórios e outros produtos pela internet. A Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018) estabelece regras para o tratamento de dados pessoais e impõe deveres de segurança aos agentes responsáveis por essas operações.
Em um e-commerce de moda, os dados tratados podem incluir nome, endereço, telefone, e-mail, histórico de pedidos e informações relacionadas ao relacionamento comercial. A natureza e o volume dessas informações variam conforme os serviços oferecidos e as tecnologias utilizadas. Mesmo dados que parecem básicos podem ser explorados em fraudes quando combinados com outras informações ou utilizados para tornar mensagens fraudulentas mais convincentes.
O artigo 46 da LGPD determina que os agentes de tratamento adotem medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais contra acessos não autorizados e situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão. Isso significa que a proteção não deve ser considerada apenas depois de um ataque: ela precisa integrar a estrutura de governança e os procedimentos da empresa.
A análise de um incidente deve considerar quais dados foram afetados, como ocorreu o acesso não autorizado, quais sistemas estavam envolvidos e quais medidas podem reduzir os riscos aos titulares. Também é necessário avaliar a atuação dos fornecedores de tecnologia que participam do tratamento, pois o uso de plataformas externas não elimina automaticamente as responsabilidades legais de cada agente.
No Brasil, quando um incidente de segurança pode acarretar risco ou dano relevante aos titulares, o controlador deve avaliar as obrigações de comunicação previstas na LGPD e na regulamentação aplicável da Autoridade Nacional de Proteção de Dados (ANPD). A comunicação, quando exigida, deve observar os prazos, os critérios e as informações estabelecidos pelas normas vigentes. Não é correto presumir que todo incidente exige a mesma resposta: a avaliação depende das circunstâncias concretas, dos dados envolvidos e dos riscos identificados.
Além disso, as empresas precisam documentar a apuração, as decisões tomadas e as medidas de contenção e prevenção. Uma resposta organizada contribui para demonstrar diligência, orientar a comunicação com os titulares e permitir que a empresa identifique pontos que precisam ser corrigidos.
Responsabilidade das marcas e dos fornecedores de tecnologia
O caso também evidencia a importância das relações contratuais entre empresas de moda e os fornecedores responsáveis por plataformas de comércio eletrônico, armazenamento em nuvem, notificações, marketing e atendimento ao consumidor.
A contratação de um serviço tecnológico exige mais do que avaliar preço e funcionalidade. É necessário compreender como os dados serão tratados, quem terá acesso aos sistemas, quais controles de segurança serão adotados e como o fornecedor deverá agir em caso de incidente. Essas condições devem ser refletidas em contratos compatíveis com o serviço prestado e com as obrigações legais aplicáveis.
Cláusulas sobre confidencialidade, medidas de segurança, comunicação de incidentes, cooperação na investigação, preservação de evidências e responsabilidades das partes podem ser essenciais para reduzir incertezas quando ocorre um problema. Também é importante definir como serão conduzidas as notificações aos titulares e às autoridades, respeitando as competências de cada parte e as exigências legais.
Isso não significa que um contrato, isoladamente, seja capaz de impedir ataques ou afastar todas as responsabilidades. Sua função é estabelecer deveres claros e mecanismos de cooperação, enquanto a empresa mantém controles efetivos, acompanha os riscos e verifica se as medidas acordadas estão sendo cumpridas.
A eventual responsabilização dependerá dos fatos, das obrigações legais e contratuais aplicáveis, da atuação de cada envolvido e dos danos comprovados. Não é possível concluir, apenas com base nas informações divulgadas sobre o incidente da ASOS, que a empresa ou determinado fornecedor tenha cometido uma infração específica.
Para as marcas de moda, essa distinção é fundamental: terceirizar uma atividade tecnológica não significa terceirizar integralmente a gestão do risco jurídico. A governança de dados precisa considerar a cadeia de fornecedores como parte da operação.
Phishing e o risco de novas fraudes contra consumidores
Uma consequência preocupante de incidentes cibernéticos de grande repercussão é o surgimento de tentativas de fraude que exploram o próprio caso para enganar consumidores. Criminosos podem enviar mensagens que aparentam ser comunicados oficiais da empresa, solicitando redefinição de senha, confirmação de dados de pagamento, verificação de pedidos ou preenchimento de formulários para supostos reembolsos.
Esse tipo de golpe, conhecido como phishing, utiliza a confiança na marca e a urgência criada pela notícia para induzir o destinatário a fornecer informações ou acessar páginas fraudulentas. Mesmo quando não há confirmação de que dados financeiros foram expostos no incidente original, os consumidores podem ser alvo de tentativas de fraude baseadas em informações públicas ou obtidas por outras vias.
As marcas precisam, portanto, considerar a comunicação com o consumidor como parte da resposta ao incidente. Informações claras, atualizadas e coerentes ajudam a reduzir a circulação de rumores e permitem orientar os clientes sobre como reconhecer mensagens legítimas. Ao mesmo tempo, a empresa deve evitar declarações categóricas sobre a segurança dos dados antes de ter elementos suficientes para sustentá-las.
Os consumidores, por sua vez, devem desconfiar de mensagens inesperadas que solicitem senhas, dados de pagamento ou acesso a links suspeitos. Em caso de dúvida, é mais seguro entrar no site ou aplicativo oficial digitando o endereço conhecido, em vez de utilizar links recebidos por mensagens. A reutilização de senhas também aumenta os riscos caso uma credencial seja comprometida em outro serviço.
Uma resposta adequada deve combinar investigação técnica, comunicação responsável e medidas concretas para proteger os usuários. O objetivo não é apenas restaurar os sistemas, mas também reduzir a possibilidade de que o incidente seja explorado em novas fraudes.
Reputação, confiança e continuidade do negócio
A confiança do consumidor é um ativo particularmente importante para marcas de moda que mantêm contato constante com seu público por meio de aplicativos, redes sociais, newsletters e campanhas digitais. O relacionamento depende da expectativa de que as comunicações sejam autênticas e de que os dados fornecidos durante uma compra sejam tratados com cuidado.
Quando um canal legítimo é utilizado indevidamente, o consumidor pode ter dificuldade para distinguir mensagens verdadeiras de fraudulentas. Essa incerteza pode reduzir o engajamento com as comunicações da empresa e afetar a disposição de realizar novas compras. O prejuízo, portanto, pode persistir mesmo quando o site permanece disponível e os pedidos continuam sendo processados.
O caso também reforça a necessidade de planos de continuidade de negócios. Empresas que dependem de plataformas digitais precisam prever como manter operações essenciais, comunicar-se com os clientes por canais alternativos e recuperar os sistemas afetados. A existência de seguro cibernético pode contribuir para a gestão financeira de determinados riscos, mas a cobertura depende dos termos da apólice, das exclusões e das condições contratadas.
Além da recuperação imediata, é importante que a organização reveja as causas do incidente, atualize seus controles e avalie se os procedimentos internos são suficientes para detectar e conter acessos não autorizados. A resposta não deve terminar quando o sistema volta a funcionar. É necessário verificar o que aconteceu, quais vulnerabilidades foram exploradas e como evitar a repetição do problema.
O que as marcas de moda podem aprender com o caso?
O episódio da ASOS demonstra que a segurança digital precisa fazer parte do planejamento jurídico e empresarial das marcas, e não ser tratada exclusivamente como uma questão técnica. A prevenção envolve a colaboração entre as equipes de tecnologia, jurídico, marketing, atendimento, gestão e comunicação.
As empresas devem compreender quais dados pessoais coletam, para quais finalidades são utilizados, quais fornecedores participam do tratamento e quem está autorizado a acessar os sistemas. Também precisam manter procedimentos para identificar incidentes, restringir acessos indevidos, preservar evidências, avaliar riscos e cumprir as obrigações legais de comunicação quando aplicáveis.
Os contratos com fornecedores devem ser revisados para garantir clareza sobre segurança, confidencialidade, cooperação e responsabilidades. Paralelamente, as equipes que mantêm contato com os consumidores precisam estar preparadas para responder a dúvidas sem divulgar informações não verificadas ou prometer resultados que ainda não podem ser assegurados.
O planejamento também deve contemplar a dimensão reputacional. Uma comunicação tardia, contraditória ou imprecisa pode agravar a insegurança, enquanto uma resposta transparente e proporcional aos fatos contribui para preservar a confiança. Isso exige equilíbrio entre informar o público, proteger a investigação e respeitar a privacidade dos titulares.
A relação com o Fashion Law
O Fashion Law abrange as questões jurídicas relacionadas à indústria da moda e acompanha sua transformação tecnológica e comercial. Por isso, a proteção de dados, a cibersegurança e a gestão de riscos digitais são temas cada vez mais relevantes para marcas que vendem on-line e mantêm relações contínuas com consumidores.
A proteção de uma marca não se resume ao registro de seu nome ou à defesa de seus desenhos e criações contra cópias. Ela também envolve a segurança das operações, a conformidade no tratamento de dados, a estruturação dos contratos e a capacidade de responder a incidentes que possam afetar clientes e parceiros.
O caso da ASOS mostra como um problema tecnológico pode se converter em uma questão jurídica, operacional e reputacional. A análise de responsabilidades, a aplicação das regras de proteção de dados, a relação com fornecedores e a comunicação com consumidores podem exigir atuação coordenada de profissionais de diferentes áreas.
Para empresários, designers, profissionais de marketing e demais agentes da indústria da moda, a principal lição é que a prevenção jurídica precisa acompanhar a evolução do negócio. Quanto maior a dependência de plataformas digitais e dados pessoais, mais importante se torna integrar segurança da informação, contratos e governança à estratégia empresarial.
A cibersegurança, nesse contexto, não é apenas uma preocupação da equipe de tecnologia. É parte da proteção do consumidor, da continuidade da operação e da confiança que sustenta o relacionamento entre uma marca e seu público.
Se você ou a sua marca está enfrentando situações relacionadas à propriedade intelectual, contratos, cópia de produtos, concorrência desleal ou demais questões envolvendo a indústria da moda, entre em contato com o Carolina Lago Advocacia através do link: https://wa.me/message/NEZI63N53Y5UK1 e fale com um especialista.
Para acompanhar matérias como esta, assine a nossa newsletter e receba diariamente notícias e atualizações exclusivas sobre Fashion Law: https://www.juridicofashion.com/newsletter-jurídico-fashion
