Netshoes vai avisar dois milhões de clientes sobre ataque hacker

A Netshoes vai ter que avisar a cerca de dois milhões de clientes afetados por um ataque hacker, em dezembro, informou a companhia nesta terça-feira. O ataque envolveu operações da empresa no Brasil e resultou na divulgação de dados não bancários dos usuários. A decisão de comunicar os consumidores ocorre um mês após o Ministério Público do Distrito Federal ter notificado a companhia para que informasse os usuários atingidos pelo vazamento.

A empresa apresentou mais cedo ao órgão regulador dos mercados de capitais dos Estados Unidos (SEC) um comunicado relatando o incidente. De acordo com o texto, a polícia brasileira está investigando o caso e os clientes atingidos estão sendo notificados sobre o incidente. A expectativa é que todos sejam informados até abril.

“Na ocasião, foi acordado que a empresa fará a comunicação pessoal, por meio de contato telefônico, a todos os clientes que tiveram seus dados disponibilizados por terceiros na internet”, afirmou a Netshoes em comunicado à imprensa.

No texto à SEC, a Netshoes afirmou que os hackers tentaram extorquir a empresa com a liberação dos dados e que a companhia “comunicou este fato a autoridades no Brasil”.

A companhia afirmou que “após minuciosa apuração interna – que contou com apoio de empresa especializada em segurança digital e comunicação à Polícia Federal desde o início do caso – chegou-se à conclusão, em linha com comunicados anteriores da companhia, de que não há qualquer indício de invasão à sua estrutura tecnológica”.

“Confirmamos a todos os nossos clientes e partes interessadas que nenhum dado bancário (incluindo senhas e dados de cartão de crédito) de nossos clientes foi comprometido neste incidente”, disse a empresa à Securities and Exchange Commission (SEC), acrescentando que, após a conclusão de uma investigação interna, realizada por um especialista independente de segurança cibernética, não houve indícios de que a infraestrutura de Tecnologia da Informação (TI) da empresa tenha sido comprometida.

Na avaliação do advogado Rafael Zanatta, pesquisador em telecomunicações do Instituto Brasileiro de Defesa do Consumidor (Idec), os vazamentos de dados pessoais são um dos problemas mais relevantes deste século.

– Há um crescimento exponencial de vazamentos em toda a economia digital, causados tanto pela sofisticação de criminosos e técnicas de invasão de sistemas quanto por negligência e erros humanos de profissionais de segurança da informação. Há um número cada vez maior de empresas on-line e não há rotinas de prevenção de riscos. Curiosamente, criamos mais exigências operacionais para “barraquinhas de cachorro quente” do que para empresas de tecnologias que lidam com dados pessoais – pondera Zanatta.

Segundo o especialista, nos EUA, 48 dos 50 estados têm leis estaduais sobre vazamento de dados (data breaches). Depois do vazamento de informações sensíveis da Equifax, o maior vazamento de dados financeiros da história dos EUA, que afetou 143 milhões de pessoas, o Congressoamericanocomeçou a discutir uma Lei Federal para Incidentes de Segurança. O formato proposto nos EUA é semelhante ao modelo europeu, que prevê autoridades independentes de proteção de dados pessoais e procedimentos que devem ser rigorosamente seguidos em caso de descoberta de vazamento de dados. Em outras palavras, explica Zanatta, há regulação de incidentes de segurança.

No Brasil, o Idec defende a imediata aprovação do Projeto de Lei nº 5.276/2016, que cria regras rígidas sobre incidentes de segurança e um olhar voltado à defesa dos direitos consumidores.

– Se tivéssemos a lei de dados pessoais em vigor, empresas como Netshoes seriam obrigadas a criar um plano de ação para mitigação de riscos causados a seus consumidores. Sem uma autoridade independente e regras fortes, não há como ter clareza sobre quais dados pessoais foram afetados, qual o número de pessoas envolvidas, quais os riscos relacionados ao incidente e quais serão as medidas adotadas pela empresa para que esses riscos não se materializem em danos – explica o especialista do Idec.

Zanatta alerta que casos como o Netshoes tendem a aumentar e as promotorias não tem condições de se dedicar exclusivamente a um tema complexo, como o controle de riscos em incidentes de segurança.

– É preciso que o governo federal assuma a responsabilidade de criar a autoridade de proteção de dados pessoais e unir esforços com órgãos técnicos como o Centro de Estudos, Resposta e Tratamento de Incidentes de Segurança no Brasil (Cert.br) do Comitê Gestor da Internet (CGI.br). Como etapa preliminar, o Congresso precisa agir. A questão está no colo dos parlamentares – chama atenção o especialista.

O GLOBO