Vazamento de dados da Zara: quais informações foram expostas e o que se sabe sobre o ataque

O vazamento da Zara é melhor entendido como um incidente envolvendo terceiros. A Inditex, grupo espanhol dono da Zara, atribuiu o caso a acesso não autorizado em um antigo fornecedor de tecnologia, enquanto serviços e reportagens de notificação de vazamentos apontaram cerca de 197.400 pessoas afetadas.

Pelo que se sabe até agora, os dados expostos não incluiriam senhas nem informações de cartões de pagamento. Ainda assim, o conjunto de informações vazadas pode ser suficiente para golpes bem convincentes contra clientes.

Quais dados pessoais foram expostos?

O serviço Have I Been Pwned, usado para consultar se e-mails aparecem em vazamentos conhecidos, listou o incidente da Zara como afetando mais de 197 mil pessoas; diferentes relatos citam o número de 197.400 registros.

As informações expostas teriam incluído:

• Endereços de e-mail.
• Dados de mercado geográfico ou informações relacionadas à localização.
• Informações de compras e pedidos, incluindo IDs de pedidos, produtos ou SKUs em alguns relatos.
• Dados de tickets de atendimento ou suporte.

Essa combinação é relevante porque pode deixar mensagens fraudulentas com aparência mais legítima. Um golpista poderia mencionar um e-mail real, um mercado, um pedido, um produto ou uma interação de suporte para tentar convencer a vítima. A Cloaked alertou que esses detalhes, mesmo sem senhas ou cartões, ainda podem alimentar tentativas de phishing e tomada de contas.

O que, segundo os relatos, não foi acessado?

A Inditex teria informado que senhas e dados de cartões de pagamento não foram acessados. Um resumo publicado pelo Daily.dev também afirmou que nomes, telefones, endereços, credenciais e dados de pagamento não foram comprometidos, embora isso deva ser lido com cautela porque a Inditex não publicou uma análise técnica completa do incidente.

Na prática, com base nas informações disponíveis, o caso não parece ser um vazamento de cartão. O risco mais imediato está em engenharia social: e-mails ou mensagens que finjam tratar de um pedido da Zara, reembolso, problema de entrega, falha de pagamento ou chamado de suporte.

Como o ShinyHunters teria obtido acesso?

A versão confirmada pela Inditex aponta para fora da infraestrutura principal da Zara: o acesso não autorizado foi ligado a bases de dados hospedadas por um antigo fornecedor de tecnologia ou contratado externo.

Relatórios de segurança depois conectaram o caso ao grupo de extorsão ShinyHunters. Segundo o BleepingComputer, o grupo assumiu a responsabilidade e disse ter vazado dados supostamente obtidos de instâncias do BigQuery usando tokens de autenticação da Anodot comprometidos. Outros relatos também identificam a Anodot, fornecedora de analytics, como a suposta rota de terceiros para acessar dados de clientes de empresas atendidas por ela.

Em termos simples: o caminho relatado não foi “invadir a página de pagamento da Zara”. Foi algo mais próximo de obter ou comprometer tokens válidos de autenticação de um terceiro, usar esses tokens para alcançar ambientes de dados em nuvem conectados e extrair as informações armazenadas ali. Essa descrição é compatível com a afirmação da Inditex de que o incidente teve origem em um antigo fornecedor, e não dentro dos próprios sistemas da companhia.

O que ainda não está claro

O registro público do caso não equivale a um laudo forense completo. O BleepingComputer observou que Inditex e Zara ainda não haviam divulgado todos os detalhes do incidente, incluindo uma contagem oficial completa de pessoas afetadas.

Também há cautela sobre o método exato de acesso atribuído ao ShinyHunters: parte da explicação vem de alegações do próprio grupo e de reportagens especializadas, não de uma conclusão técnica pública e definitiva da empresa. Por isso, a hipótese dos tokens da Anodot e do BigQuery deve ser tratada como a principal explicação relatada até agora, não como um achado oficialmente confirmado em todos os detalhes.

Há ainda divergência sobre o tamanho do arquivo supostamente vazado. BleepingComputer e Daily.dev mencionam um arquivo de 140 GB, enquanto o Cork Safety Alerts citou uma alegação do ShinyHunters de 192 GB retirados de instâncias BigQuery na nuvem. Para clientes individuais, o número mais útil continua sendo a estimativa de registros no Have I Been Pwned: cerca de 197.400 entradas afetadas.

O que clientes da Zara devem fazer agora

Se seu e-mail pode ter aparecido nesse conjunto de dados, redobre a atenção com qualquer mensagem não solicitada ligada à Zara. Evite clicar em links recebidos por e-mail, SMS ou aplicativos de mensagem sobre reembolsos, entrega, falha de pagamento, cupons, programas de fidelidade ou tickets de atendimento. O caminho mais seguro é entrar diretamente pelo site ou aplicativo oficial da Zara.

Como os relatos atuais dizem que senhas e dados de cartão não foram acessados, trocar cartões em massa não parece ser a primeira medida necessária com base no que se sabe. Mesmo assim, vale trocar senhas reutilizadas em contas de varejo e ativar autenticação multifator sempre que o serviço oferecer esse recurso.

Por que esse caso importa além da Zara

O incidente mostra como fornecedores de analytics e conexões com ambientes de dados em nuvem podem expor informações de clientes mesmo quando uma varejista diz que seus sistemas principais não foram invadidos diretamente.

Para equipes de segurança, o caminho relatado — tokens de autenticação e data warehouses em nuvem — reforça controles conhecidos: revogar acessos de fornecedores antigos, rotacionar tokens, limitar permissões em ambientes de dados, monitorar exportações incomuns e auditar quem pode acessar bases com informações de clientes.

A conclusão é simples: o vazamento da Zara parece ter sido mais limitado do que um incidente envolvendo senhas ou cartões, mas ainda trouxe dados pessoais suficientes para serem explorados em golpes. O problema não é apenas o que vazou, e sim como uma conexão de terceiros teria tornado dados de clientes de uma marca global acessíveis a atacantes.