Lojas físicas, centros de distribuição, marketplaces e e-commerce dependem de sistemas que não podem parar e guardam dados de cartão e de clientes. Ajudamos redes varejistas a proteger a operação, a atender ao PCI DSS e à LGPD e a atravessar as datas de pico sem incidente.
No varejo, cada hora parada é venda perdida. Os atacantes sabem disso e escolhem o momento e o ponto de entrada:
Quem armazena, processa ou transmite dados de cartão segue o PCI DSS v4.0.1, exigido pelas bandeiras e cobrado pelos adquirentes. Desde 31 de março de 2025 valem os requisitos que eram futuros na versão 4.0, entre eles o controle dos scripts da página de pagamento (6.4.3) e a detecção de alterações nessa página (11.6.1). O padrão também pede solução automatizada contra ataques a aplicações web expostas (6.4.2), autenticação multifator para acesso ao ambiente de dados de cartão (8.4.2) e testes de intrusão periódicos (11.4).
A LGPD (Lei nº 13.709/2018) obriga a adotar medidas de segurança para proteger os dados pessoais (art. 46) e a comunicar à ANPD e aos titulares os incidentes que possam causar risco ou dano relevante (art. 48). A Resolução CD/ANPD nº 15/2024 fixa o prazo de três dias úteis para essa comunicação. No comércio eletrônico, o Decreto nº 7.962/2013, que regulamenta o Código de Defesa do Consumidor, determina que o fornecedor utilize mecanismos de segurança eficazes para pagamento e para tratamento de dados do consumidor.
Monitoramento contínuo de lojas, centros de distribuição, nuvem e e-commerce, com detecção e contenção de ransomware antes da criptografia.
WAF e proteção de APIs para o e-commerce e o app, prevenção de vazamento de dados (DLP) e DevSecOps no ciclo de desenvolvimento.
Testes de intrusão em checkout, APIs, aplicativos e rede de lojas, alinhados ao que o PCI DSS pede.
NDR para enxergar movimentação lateral entre lojas, PDVs, centros de distribuição e a sede.
MFA, gestão de acessos privilegiados e controle de contas de terceiros, franqueados e prestadores.
Mapeamento dos requisitos do PCI DSS e da LGPD aos controles internos e organização das evidências para auditorias e adquirentes.
Black Friday, Natal e datas comemorativas concentram tráfego, promoções e equipes sobrecarregadas. É quando os golpes com cupons e sites falsos se multiplicam, os robôs testam credenciais em massa e um DDoS ou um ransomware causa o maior prejuízo.
A preparação começa semanas antes: pentest e correção das falhas antes do congelamento de mudanças, revisão das regras de WAF e de proteção contra bots, backups testados e fora do alcance do atacante, um plano de resposta a incidentes ensaiado com o time e monitoramento reforçado durante a campanha. Para os clientes, vale orientar sobre os canais oficiais da loja. Leia sobre phishing e engenharia social com IA.
Ambas disponibilizaram o suporte necessário e nos acompanharam durante todo o processo.
Sim, em escopo reduzido. Terceirizar o checkout diminui o ambiente de dados de cartão, mas o lojista continua responsável pela página que carrega o pagamento, pelos scripts que ela executa e pela validação anual de conformidade junto ao adquirente.
O 6.4.3 pede inventário, autorização e garantia de integridade de cada script executado na página de pagamento, com justificativa para cada um. O 11.6.1 exige um mecanismo que detecte alterações não autorizadas nessa página e alerte a equipe. Ambos são obrigatórios desde 31 de março de 2025.
Se o incidente puder acarretar risco ou dano relevante aos titulares, sim. A LGPD exige a comunicação à ANPD e aos titulares, e a Resolução CD/ANPD nº 15/2024 fixa o prazo de três dias úteis, contados do conhecimento de que o incidente afetou dados pessoais.
O PCI DSS pede teste de intrusão ao menos uma vez a cada 12 meses e após mudanças significativas. No varejo, vale programar o teste antes do congelamento de mudanças que antecede as datas de pico, com tempo para corrigir o que for encontrado.
Converse com um especialista e veja onde estão as lacunas entre o PCI DSS, a LGPD e os seus controles.