Rede russa Poryadok fecha lojas por ataque confirmado
Poryadok (Порядок)
claimed on · assessed on
A Poryadok, rede russa de itens para casa com 48 lojas em 32 cidades, confirmou publicamente ter sofrido um ataque hacker. Lojas, site, app, SAC e programa de fidelidade ficaram fora do ar por cerca de uma semana. Não encontrei ator reivindicando, número de registros, prova de exfiltração nem o método de invasão, e por isso não classifico o caso como vazamento.
Analytic judgments
Every assessment carries its confidence level explicitly, following intelligence practice (ICD 203 / FIRST). High confidence is not certainty; low confidence is not a guess — it’s the weight the available evidence supports.
O incidente é real e é de indisponibilidade operacional. A própria empresa atribuiu a paralisação a um ataque hacker, e a notícia foi repetida por imprensa nacional e regional, que cita o mesmo comunicado. Seria desmentido por uma retratação da empresa ou por prova de que a causa foi falha interna.
Não há base pública para tratar o caso como vazamento de dados. Nenhuma fonte que li menciona exfiltração, venda ou publicação de dados, nem contagem de registros. A ausência é de evidência, não prova de que não houve exfiltração. Uma reivindicação com amostra verificável mudaria este juízo.
O padrão de falha (lojas físicas, app, site, SAC e fidelidade caindo juntos, e a promessa de 'restaurar' dados de pedidos e bônus) é compatível com comprometimento amplo da infraestrutura central, com perda ou corrupção de dados. Isso é inferência sobre sintomas. Ransomware e wiper são hipóteses não confirmadas, e a empresa não descreveu a natureza do ataque.
A janela de indisponibilidade começou antes do que o registro e a reportagem sugerem. Moradores de Rybinsk relatam loja fechada desde 24/10, um sábado, e a empresa e a The Record citam 25/10. O comunicado de 29/10 só veio de quatro a cinco dias depois, enquanto as lojas exibiam o aviso de 'problemas técnicos'. Seria desmentido por logs ou postagens oficiais datadas de 24/10 mostrando operação normal.
Não há ator identificado. Atribuir o caso à série recente de ataques contra empresas russas (Dodo Pizza em setembro, Anywayanyday em outubro) não tem base nas fontes lidas. A The Record apenas lista os casos como coincidentes no tempo, e só o da Dodo teve reivindicação (DataSuckers).
Analysis
O que a vítima admite: em comunicado reproduzido por vários veículos russos, a Poryadok diz que 'se deparou com um ataque hacker' e que está restaurando os serviços. Promete que as lojas voltarão a funcionar, que os dados dos pedidos serão restaurados e que os bônus do programa de fidelidade serão devolvidos. Antes disso, entre 24 e 27/10, a comunicação oficial falava apenas em 'razões técnicas' e instabilidade de site e app. A confirmação do ataque veio cerca de quatro dias depois do início visível da paralisação. Não encontrei o texto original do comunicado em canal da própria empresa; li as reproduções na imprensa.
O que o ator alega: nada. Não encontrei reivindicação em nenhuma das fontes lidas. Isso difere do caso da Dodo Pizza, que a The Record cita como invasão reivindicada por um grupo chamado DataSuckers. Também não encontrei menção a pedido de resgate, nota de extorsão ou site de vazamento associados à Poryadok. As buscas finais sobre reivindicação e retomada das operações bateram no limite de consultas da ferramenta e não foram concluídas. A ausência de reivindicação vale, portanto, para o que li, não como varredura exaustiva de canais de criminosos.
O que o regulador afirma: nada que eu tenha encontrado. Não localizei manifestação do Roskomnadzor, nem notificação de incidente com dados pessoais, nem comunicado de órgão de segurança. A rede tem programa de fidelidade e app, então há base de dados de clientes. Sem notificação ou reivindicação, não sei se houve acesso a dados pessoais.
O que a evidência demonstra: apenas os efeitos operacionais. São 48 lojas em 32 cidades segundo a The Record e a imprensa regional, e relatos independentes de clientes em várias cidades (Voronej, Rybinsk, Stavropol) de lojas fechadas, app fora do ar e atendimento mudo. Um agregador de status (DownRadar) mostrou o domínio respondendo HTTP 200 num momento da cobertura, ou seja, o site não estava totalmente derrubado. A falha parece estar na camada de aplicação e de pedidos, não na hospedagem do site. É um indício, não prova, e a fonte é um agregador sem apuração própria.
O que não sustenta a narrativa: a manchete da The Record fala em 'dias de interrupção' e é fiel ao que a empresa disse. Mas uma subchamada de um veículo regional descreve um ataque 'sem precedentes' como se fosse declaração da empresa. Não encontrei essa palavra no trecho do comunicado que li, então não a atribuo à empresa. Também descarto que se trate de vazamento: nosso registro tinha o campo de registros em branco, e é onde deve ficar.
Hipótese de trabalho, de confiança baixa: a combinação de lojas físicas paradas (provavelmente por dependência de PDV e retaguarda centralizados), perda de acesso a pedidos e bônus e a necessidade de 'restaurar dados' sugere comprometimento amplo do ambiente de TI central. Isso poderia ser criptografia ou destruição de dados. Também poderia ser contenção preventiva, com a empresa desligando sistemas por precaução. Não há como distinguir as duas coisas com o que é público.
Contexto: a The Record lista outros incidentes recentes em empresas russas, como Dodo Pizza em setembro e Anywayanyday em meados de outubro. Os três não têm vínculo demonstrado entre si. Um site de dados corporativos citado pela imprensa regional atribui à ooperadora, ООО «Спектр», receita de 12 bilhões de rublos em 2025 e lucro líquido de 936,1 milhões. O número é de terceiros e não foi verificado por nós. Serve apenas para dimensionar a empresa, e a paralisação de uma semana tem custo operacional real. Não há estimativa de perda divulgada.
Correção ao nosso registro: o campo de organização continha a manchete da matéria em vez do nome da vítima, que é Poryadok. O selo 'claimed' estava errado: ninguém 'alegou' nada, a própria vítima confirmou o ataque, então o correto é 'confirmed'. O veredito 'unverified' passa a 'real', no sentido de incidente real e confirmado, sem implicar vazamento. O país é Rússia e o setor é varejo. A data de 2026-10-30 é a da matéria da The Record. O comunicado é de 29/10 e o início dos problemas, 24 ou 25/10.
Timeline
- 24 Oct 2026Moradores de Rybinsk (região de Yaroslavl) relatam a loja da rede no TRC VIKONDA fechada desde o sábado. O app teria perdido primeiro a exibição de bônus e depois parado de funcionar. A linha de atendimento não respondia. A informação vem de relatos de clientes reproduzidos pela imprensa local.
- 25 Oct 2026Data em que a rede reconhece o início dos problemas: lojas, site, app e SAC indisponíveis. Fontes de Voronej também apontam lojas fechadas desde 25/10.
- 27 Oct 2026Imprensa de Voronej e Rybinsk registra lojas fechadas. A empresa atribui o fechamento a 'razões técnicas' em suas redes sociais, sem citar ataque, e não informa prazo de reabertura.
- 29 Oct 2026A rede publica comunicado dizendo ter sofrido um ataque hacker. Afirma estar restaurando os serviços e promete recuperar os dados de pedidos e devolver os bônus de fidelidade, sem dar data.
- 30 Oct 2026A The Record publica a matéria em inglês. Segundo ela, a empresa confirmou o ataque mas não revelou o vetor nem quando as operações voltarão ao normal. O site indicava que só parte das lojas seguia afetada.
Impact
Impacto apurado: lojas físicas fechadas em várias cidades por pelo menos cinco dias, segundo a The Record. A imprensa regional fala em quase uma semana e registra o fechamento em Voronej, Rybinsk e Stavropol. Site, app, atendimento e programa de fidelidade ficaram indisponíveis. Clientes ficaram sem acesso a pedidos já pagos online e a bônus acumulados, e alguns não conseguiram trocar produtos em garantia. A empresa promete restaurar os pedidos e os bônus, sem prazo. Não há, nas fontes lidas, informação confirmada sobre dados de clientes expostos, número de afetados ou perdas financeiras.
Recommendations
- Varejistas com PDV e retaguarda centralizados: defina e teste um modo degradado de venda em loja (PDV offline com conciliação posterior), para que o comprometimento do núcleo de TI não feche as lojas.
- Mantenha backups imutáveis e segregados do diretório de identidades, dos bancos de pedidos e de fidelidade. Meça o tempo real de restauração em exercício; 'restaurar pedidos e bônus' sem prazo indica que isso não estava medido.
- Segmente a rede entre loja, nuvem do app e administração central, com contas administrativas separadas e MFA. Monitore criação de contas privilegiadas e uso de ferramentas de administração remota fora do padrão.
- Tenha um canal de comunicação para clientes que não dependa da infraestrutura atingida. A Poryadok falou em 'razões técnicas' por vários dias, com SAC e app fora do ar.
- Clientes de redes afetadas: troque a senha da conta do app se foi reutilizada em outros serviços e desconfie de contatos que citem pedidos e bônus. Não há confirmação de vazamento, mas as fontes também não excluem a possibilidade.
Intelligence gaps
What we still don’t know. A report that doesn’t declare its holes is selling, not analyzing.
Não sei se houve exfiltração de dados pessoais de clientes (cadastro do app, histórico de pedidos). Uma notificação ao Roskomnadzor ou uma reivindicação com amostra verificável resolveria.
Não há ator identificado nem motivação (extorsão, sabotagem, hacktivismo). Resolveria uma reivindicação, um site de vazamento ou uma atribuição oficial.
O vetor de entrada e a natureza do ataque (ransomware, wiper, outra) são desconhecidos. Resolveria um relatório técnico da empresa ou de resposta a incidentes.
A data real de início é incerta (24 ou 25/10). Resolveria o acesso a postagens oficiais datadas ou a logs de indisponibilidade.
Não sei se e quando as operações voltaram ao normal. Resolveria um comunicado de retomada da empresa; a verificação final não foi concluída por limite de consultas.
Não encontrei o texto original do comunicado em canal próprio da empresa. Resolveria a captura direta da publicação oficial.
Não há estimativa de perda financeira nem de clientes afetados. Resolveria um fato relevante, entrevista ou declaração da empresa.
Não há como excluir ligação com outros ataques recentes a empresas russas. Resolveria evidência técnica compartilhada, como infraestrutura, TTPs ou o mesmo ator reivindicando.
Sources and rating
Admiralty rating (NATO standard, used by CERT-EU and OpenCTI): the letter rates SOURCE reliability (A completely reliable to F not rated); the number rates INFORMATION credibility (1 confirmed to 6 cannot be judged). Both dimensions are assessed independently — a good source does not make weak information reliable.