Como os Ciberataques Realmente Acontecem: Os Métodos por Trás de Violações como a da H&M

Em 12 de outubro de 2026, o H&M Group disse que estava investigando alegações online de um incidente de cibersegurança envolvendo "um escopo limitado de dados do H&M Group", de acordo com uma declaração da empresa reportada pelo Retail Gazette. O varejista disse que não havia encontrado nenhuma indicação de que seu ambiente de dados tivesse sido comprometido e não havia notificado o Information Commissioner's Office do Reino Unido, de acordo com Beinsure.

As alegações surgiram dias depois que a varejista de moda ASOS confirmou uma violação em 6 de outubro, na qual os atacantes obtiveram as credenciais de login de um funcionário ao se passar por um contato confiável, depois usaram essas credenciais para alcançar nomes de clientes e detalhes de contato armazenados em plataformas de terceiros, conforme o relatório da Beinsure. O Retail Gazette observou que os relatórios ligaram as alegações da H&M ao mesmo grupo de criminosos cibernéticos, ShinyHunters, embora nenhuma confirmação independente conecte os dois incidentes.

Quem é ShinyHunters?

ShinyHunters é um grupo de hackers motivado financeiramente que está ativo desde 2020 e está vinculado a violações em mais de 400 organizações, de acordo com o fornecedor de cibersegurança DoControl. O grupo segue um modelo de extorsão "pagar ou vazar": exige um resgate e ameaça publicar dados roubados em fórums da dark web se o alvo não pagar, reportou DoControl. Os alvos anteriores nomeados por DoControl incluem Salesforce, Google, Workday, Adidas, Coinbase, Qantas Airways e Jaguar Land Rover.

Os métodos por trás da maioria das violações

A análise do DoControl descreve cinco técnicas que o grupo utilizou: abusando de tokens OAuth roubados para se passar por usuários e contornar autenticação multifator; explorando configurações mal configuradas em plataformas em nuvem como Salesforce Experience Cloud ou Google Workspace; comprometendo fornecedores de software confiáveis para alcançar seus clientes downstream de uma vez; recrutando funcionários em canais do Telegram em troca de pagamento por acesso a sistemas internos; e usando chamadas de voz geradas por IA que se passam por pessoal de TI para enganar funcionários a aprovarem aplicações controladas pelo atacante.

Essas técnicas refletem dados mais amplos da indústria. O Relatório de Investigação de Violações de Dados 2026 da Verizon, citado pelo Help Net Security, constatou que a exploração de vulnerabilidades de software superou as credenciais roubadas como a forma mais comum de os atacantes entrarem em uma rede — a primeira vez que isso acontece na história de 19 anos do relatório. O mesmo relatório constatou que apenas 26% das vulnerabilidades na lista "exploradas conhecidas" da Agência de Cibersegurança e Infraestrutura dos EUA foram totalmente corrigidas pelas organizações pesquisadas, uma queda de 38% um ano antes, e que o tempo médio para corrigir uma falha havia aumentado para 43 dias.

Onde o fator humano se encaixa

Nem toda violação depende de uma falha de software. O resumo da Help Net Security do relatório da Verizon constatou que as violações envolvendo um elemento humano — como ser enganado por uma mensagem de phishing ou ligação telefônica — permaneceram comuns. O relatório também constatou que os phishers geralmente tinham mais sucesso alcançando vítimas através de chamadas de voz e mensagens de texto do que através de email, sem fornecer uma figura de comparação exata, e observou que o "vishing" baseado em telefone tem sido cada vez mais usado em esquemas de ransomware e extorsão.

O envolvimento de terceiros e cadeia de suprimentos em violações aumentou 60% ano após ano, de acordo com o mesmo relatório, agora presente em quase metade de todos os incidentes — um padrão que corresponde a como o atacante do ASOS alcançou dados de clientes através de uma plataforma de terceiros em vez dos sistemas principais do ASOS, conforme a conta da Beinsure do incidente.

O que permanece não confirmado no caso H&M

De acordo com a declaração da H&M reportada pelo Retail Gazette, a empresa não havia confirmado que nenhum sistema tivesse sido violado, e não havia vinculado as alegações definitivamente ao ShinyHunters ou ao incidente do ASOS. H&M disse que sua investigação estava em andamento e que não poderia compartilhar mais detalhes naquele momento, de acordo com o relatório da Beinsure da declaração da empresa.