A Loblaw, um dos maiores grupos de distribuição do Canadá, comprometeu-se a submeter os seus sistemas a uma auditoria independente de segurança, após um ciberataque que comprometeu os dados pessoais de aproximadamente dois milhões de pessoas. O compromisso resulta de uma investigação conduzida pelo Comissariado para a Proteção da Vida Privada do Canadá.
A empresa assinou uma carta de conformidade em 21 de outubro de 2026, na qual aceita reforçar as medidas de proteção de dados e demonstrar a sua eficácia perante o regulador. A investigação continuará aberta até que a autoridade considere cumpridas todas as obrigações assumidas.
Segundo o comunicado oficial do regulador canadiano, publicado a 26 de outubro, o acordo pretende corrigir as falhas identificadas na resposta ao incidente e reduzir o risco de novas violações de segurança.
Ciberataque à Loblaw expôs mais dados do que inicialmente divulgado
A intrusão terá começado a 23 de fevereiro de 2026, quando os atacantes utilizaram credenciais comprometidas para aceder a uma plataforma utilizada pela Loblaw em atividades de controlo de qualidade.
A empresa confirmou o acesso não autorizado em 5 de março e divulgou publicamente o incidente cinco dias depois. Nessa altura, apresentou a violação como um episódio de alcance limitado.
A investigação posterior revelou que aproximadamente dois milhões de pessoas tiveram informações pessoais comprometidas. Entre os dados afetados encontram-se nomes, endereços de e-mail, números de telefone, moradas, datas de nascimento, números de contas de fidelização e detalhes de encomendas.
Em determinados casos, a informação exposta também incluía dados parciais de cartões de pagamento, como os últimos quatro dígitos, e endereços de faturação e entrega.
A carta de conformidade publicada pelo regulador esclarece ainda que cerca de 300 pessoas tiveram outras categorias de informação pessoal comprometidas e receberão notificações específicas.
Embora não exista confirmação de exposição de palavras-passe completas ou números integrais de cartões bancários, a combinação dos dados conhecidos pode facilitar tentativas de fraude e ataques de phishing dirigidos às vítimas.
Auditoria independente terá de estar concluída em 2027
O acordo estabelece obrigações e prazos para a Loblaw.
Até 31 de outubro de 2027, a empresa terá de entregar ao regulador um relatório elaborado por uma entidade externa e independente. A avaliação deverá analisar a eficácia das medidas de segurança, identificar eventuais vulnerabilidades ainda existentes e recomendar correções.
A Loblaw terá depois até 30 de novembro de 2027 para explicar como pretende aplicar as recomendações. Caso rejeite alguma, deverá justificar a decisão e apresentar medidas alternativas.
O compromisso abrange também melhorias nos mecanismos de autenticação, na monitorização de ameaças e nas restrições de acesso aos sistemas.
A empresa terá de apresentar relatórios trimestrais sobre o cumprimento das obrigações. O acordo não representa uma declaração de responsabilidade legal nem uma decisão formal de que a Loblaw violou a legislação canadiana de proteção de dados.
Clientes começaram a receber notificações sete meses depois
Outro ponto central da investigação diz respeito à comunicação com as pessoas afetadas.
A Loblaw publicou um aviso no seu site e na aplicação PC Optimum em março, mas só começou a enviar notificações individuais a 19 de outubro de 2026.
A empresa justificou o intervalo com a necessidade de analisar os dados comprometidos, eliminar registos duplicados e identificar corretamente os titulares da informação.
O regulador exigiu que a Loblaw confirme, até 16 de novembro de 2026, que todos os clientes afetados foram notificados.
O caso evidencia uma diferença importante entre divulgar publicamente um incidente e informar diretamente as pessoas afetadas. Um aviso publicado num site ou numa aplicação pode não chegar aos titulares dos dados, mesmo quando a empresa consegue identificá-los.
A exposição de contactos pessoais também cria oportunidades para mensagens fraudulentas que simulam comunicações de empresas conhecidas. Como explicámos no artigo «E-mail suspeito? O que verificar antes de clicar», a utilização de informações pessoais pode tornar estas tentativas de fraude mais convincentes.
O Comissariado canadiano manterá a investigação aberta enquanto acompanha a aplicação das medidas acordadas. A sua conclusão dependerá da avaliação dos compromissos assumidos pela Loblaw.
