O gigante do e-commerce que ficou sem checkout: o alvo já não é só militar

A guerra na Ucrânia entrou numa fase em que o alvo deixou de ser apenas o quartel ou o depósito de munições: passou a ser a caixa de pagamento de um marketplace. Os serviços secretos militares ucranianos afirmam ter perturbado a operação do maior marketplace online da Rússia, a Wildberries, num ciberataque concebido para amplificar o impacto dos ataques com drones à infraestrutura da empresa. Segundo a Direção Principal de Informações do Ministério da Defesa da Ucrânia (HUR), a operação decorreu a 10 e 11 de agosto e afetou o principal canal remoto de atendimento a clientes, desestabilizou parcialmente a infraestrutura de pagamentos e sobrecarregou os centros de contacto. Para quem gere organizações em Portugal, o episódio interessa menos pela geopolítica e mais pelo que revela: uma plataforma digital de retalho pode ser tratada como infraestrutura estratégica — e atacada como tal.

O que a informação militar ucraniana afirma ter feito

A HUR atribui a operação a especialistas da comunidade Cyber Corps, no âmbito de uma ação conduzida no ciberespaço russo, e sustenta que a atividade perturbou o funcionamento do principal canal remoto de apoio a clientes, destabilizou em parte a infraestrutura de pagamentos e gerou carga adicional nos centros de contacto. A agência refere ainda ter registado queixas em massa, incluindo relatos de impossibilidade de concluir pagamentos.

A justificação apresentada é explicitamente económica e logística. A HUR diz ter escolhido a infraestrutura digital da Wildberries por considerar que a empresa desempenha um papel relevante na rede logística russa e no financiamento da guerra, afirmando que a “ciberoperação amplificou o impacto dos ataques cinéticos” das forças ucranianas aos armazéns do grupo. Apesar do que descreve como um nível elevado de segurança dos sistemas da empresa, a agência sustenta que o ataque provocou disrupções técnicas generalizadas.

Cronologia: do armazém ao checkout

A escala da destruição física ajuda a explicar a lógica da operação combinada. A empresa perdeu mais de 1,2 milhões de metros quadrados de espaço de armazenagem devido aos ataques ucranianos, de acordo com estimativas divulgadas por meios de comunicação russos, e o Ministério da Defesa da Ucrânia afirmou que sete dos dez maiores centros logísticos da empresa ficaram fora de operação. As estimativas de prejuízo divergem consideravelmente entre fontes: há análises que apontam para pelo menos 23 instalações atingidas desde meados de julho e cerca de um terço da área de armazenagem destruída ou danificada, com mercadoria avaliada em torno de 480 mil milhões de rublos, enquanto outros relatos referem valores substancialmente mais elevados. Números tão dispersos devem ser lidos com prudência.

O que não está confirmado

Este é um caso em que praticamente toda a informação disponível provém de uma das partes no conflito. A Wildberries não comentou publicamente o ciberataque nem os danos que este teria causado. A extensão da disrupção não foi verificada de forma independente, embora vendedores da plataforma tenham reportado atrasos em pagamentos nos dias seguintes. Também não é público o vetor técnico utilizado: a HUR não divulgou indicadores de comprometimento, vulnerabilidades exploradas nem identificadores CVE, e as descrições conhecidas — indisponibilidade de canais de atendimento e instabilidade de pagamentos — são compatíveis tanto com negação de serviço distribuída como com intrusão em sistemas de suporte.

Há ainda uma disputa sobre a legitimidade do alvo. A Wildberries e o Kremlin negam que a empresa forneça as forças armadas russas, ainda que o marketplace tenha disponibilizado produtos de duplo uso e de natureza militar, incluindo coletes balísticos, equipamento de visão noturna e cabo de fibra ótica utilizável em drones. A maioria dos produtos vendidos são bens de consumo comuns. A dimensão da plataforma é relevante para perceber o efeito de qualquer indisponibilidade: trata-se do maior retalhista online russo, com mais de 20 milhões de encomendas por dia e mais de um milhão de vendedores.

Quem paga a conta: os pequenos vendedores

Um aspeto frequentemente ignorado neste tipo de operações é a distribuição do dano. A análise da bne IntelliNews nota que o prejuízo recai sobretudo sobre dezenas de milhares de pequenos comerciantes e que, apesar de estarem em preparação benefícios fiscais e moratórias de crédito, não foi anunciado qualquer mecanismo de compensação por mercadoria destruída. Uma falha nos sistemas de pagamento atinge exatamente as mesmas pessoas uma segunda vez, ao atrasar os recebimentos.

A lição é transferível para qualquer economia digital: quando uma plataforma concentra a intermediação de milhares de microempresas, a sua resiliência técnica deixa de ser um problema interno e passa a ser um risco sistémico para todo um tecido empresarial. Em Portugal, onde muitas PME dependem de marketplaces, prestadores de hosting, sistemas de faturação em cloud e gateways de pagamento de terceiros, a lógica é a mesma.

Padrão conhecido: ciberoperações a acompanhar ataques físicos

O modelo não é novo. A informação militar ucraniana realiza com frequência ciberataques em cooperação com grupos de hackers, muitas vezes para complementar grandes ataques com drones ou mísseis; em junho de 2025, a HUR afirmou ter comprometido os sistemas internos do fabricante aeronáutico estatal russo Tupolev poucos dias após ataques-surpresa com drones a bases aéreas russas. A novidade aqui é a explicitação do objetivo: a componente digital é apresentada como multiplicador de efeito de uma campanha física, contra um alvo civil de grande escala.

Porque é que isto importa para organizações em Portugal

Portugal não é parte neste conflito, mas o ciberespaço nacional já sente o eco de tensões geopolíticas. O Centro Nacional de Cibersegurança (CNCS) registou que atores estatais atuaram no ciberespaço nacional sobretudo através de ações de ciberespionagem e que grupos hacktivistas, maioritariamente de matriz pró-russa, recorreram a ações disruptivas como ataques DDoS. O mesmo relatório aponta um aumento significativo dos incidentes em 2024, com destaque para ransomware, indisponibilidades — por falha crítica ou por DDoS — e grandes fugas de credenciais envolvendo administração pública, operadores de serviços essenciais e prestadores de serviços digitais.

É neste enquadramento que o novo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2) ganha sentido prático. O diploma obriga um universo muito mais amplo de entidades — incluindo setores como transportes, banca, infraestruturas do mercado financeiro, gestão de resíduos, produção alimentar e prestadores digitais — a adotar medidas de gestão de risco, a comunicar incidentes significativos ao CNCS/CERT.PT e a responsabilizar a gestão de topo. Casos como o da Wildberries mostram que a continuidade de negócio não se testa apenas contra ransomware: testa-se também contra a perda simultânea de instalações físicas e de canais digitais críticos. Se houver dados pessoais comprometidos, acrescem as obrigações do RGPD, com notificação à CNPD em 72 horas quando aplicável.

Cinco medidas concretas a retirar deste caso

• Mapear dependências de terceiros: identifique quem processa os seus pagamentos, aloja o seu comércio eletrónico e opera o seu atendimento, e o que acontece se cada um falhar 24 ou 72 horas.
• Ter canal alternativo de atendimento e cobrança: um segundo método de pagamento e uma via de contacto independente evitam paralisia total quando o canal principal cai.
• Proteção anti-DDoS e capacidade elástica: mitigação em edge, limitação de pedidos e rate limiting nos endpoints críticos, com testes periódicos.
• Planos de continuidade e comunicação de crise: exercícios de mesa (tabletop) que incluam cenários combinados — indisponibilidade digital e perturbação logística ao mesmo tempo.
• Procedimento de notificação pronto: saber quando e como reportar ao CNCS/CERT.PT e, se houver dados pessoais, à CNPD, evita perder prazos legais em plena crise.

Perguntas frequentes

O que aconteceu exatamente à Wildberries?

Segundo a informação militar ucraniana, especialistas da comunidade Cyber Corps atacaram a infraestrutura digital da empresa a 10 e 11 de agosto de 2026, afetando o principal canal remoto de atendimento e desestabilizando parcialmente os pagamentos. A empresa não comentou publicamente e a dimensão do impacto não foi confirmada de forma independente.

Este ataque tem consequências diretas para consumidores ou empresas em Portugal?

Não há indicação de impacto direto em Portugal. A Wildberries opera essencialmente na Rússia e em mercados vizinhos. A relevância é indireta: demonstra como plataformas de retalho e sistemas de pagamento se tornaram alvos em conflitos geopolíticos.

Foi um ataque DDoS ou uma intrusão nos sistemas?

Não é possível afirmar com certeza. Não foram divulgados indicadores de comprometimento, vulnerabilidades exploradas nem identificadores CVE. Os efeitos descritos são compatíveis com negação de serviço, mas também com o comprometimento de sistemas de suporte e pagamento.

Que lição prática deve uma PME portuguesa retirar deste caso?

Que a dependência de um único canal digital de venda, atendimento ou cobrança é um risco de negócio. Ter alternativas de pagamento, proteção contra DDoS, cópias de segurança testadas e um plano de continuidade escrito reduz materialmente o impacto de qualquer indisponibilidade prolongada.

Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Direção Principal de Informações do Ministério da Defesa da Ucrânia (HUR), pelo Centro Nacional de Cibersegurança e por relatos de imprensa internacional especializada.