Um grupo de ransomware derrubou os sistemas de supermercados da Ahold Delhaize nos EUA por dias

Em 8 de novembro de 2024, a Ahold Delhaize USA — controladora da Stop & Shop, Hannaford, Food Lion, Giant Food e The Giant Company, com mais de 2.000 lojas — divulgou um ciberataque e tirou sistemas do ar para contê-lo. Pedidos de retirada e entrega foram cancelados porque os funcionários não conseguiam ver o que havia sido pedido; algumas farmácias não conseguiam atender ligações; o site e o aplicativo da Hannaford permaneceram fora do ar até a segunda semana. As lojas continuaram abertas e seguiam aceitando cartões, mas a interrupção ocorreu bem antes da corrida de vendas do período de festas nos EUA.

Semanas depois, a empresa confirmou que arquivos haviam sido roubados, após um grupo rastreado como Inc Ransom alegar em seu site de vazamento deter até 6 TB de dados da divisão americana, segundo pesquisadores da Arctic Wolf. Conforme registros estaduais posteriores, os invasores já haviam chegado a um de seus bancos de dados em 5 e 6 de novembro, dias antes da divulgação pública. A agitação em torno do incidente foi incômoda: o negócio americano acabara de receber uma nova CIO, Ann Dozier, após dois anos de mudanças na liderança de TI.

Em 2025, a conta completa apareceu. Um registro da procuradoria-geral do Maine apontou a exposição de cerca de 2,2 milhões de pessoas — funcionários atuais e antigos, dependentes e beneficiários, incluindo aproximadamente 100 mil moradores do Maine — com datas de nascimento, números de Seguro Social, dados bancários, registros de saúde e dados de indenização trabalhista. A empresa disse não acreditar que os sistemas de pagamento ou de farmácia dos clientes tenham sido atingidos: a contenção protegeu os cartões dos consumidores, enquanto os dados roubados eram majoritariamente relativos à força de trabalho.

Dias de retirada/entrega canceladas e sistemas de farmácia fora do ar em mais de 2.000 lojas; até 6 TB alegadamente roubados; registros de 2,2 milhões de pessoas expostos.

A intrusão durou dias antes da detecção — os atacantes chegaram a um banco de dados de pessoal em 5 e 6 de novembro, antes da divulgação de 8 de novembro.

A contenção significou desligar o comércio eletrônico e partes da farmácia, trocando receita e confiança dos clientes por segurança, sem um modo degradado pré-construído.

A recuperação dependeu de soluções manuais, de modo que cancelamentos e comunicação com clientes ficaram atrasados e cobranças pendentes permaneceram nas contas bancárias.

A recente rotatividade na liderança de TI deixou indefinida a responsabilidade pelos controles de acesso legados no pior momento possível.

O desligamento preventivo contém um ataque, mas o converte em uma interrupção de serviço visível: o planejamento de resiliência precisa prever como os clientes vivenciam a contenção, não apenas a violação.

Todas as lojas nos EUA permaneceram abertas durante a interrupção, e o site e o aplicativo da Hannaford ainda estavam fora do ar no início da semana seguinte. Em dezembro de 2024, a Ahold Delhaize confirmou que dados foram roubados após o Inc Ransom ameaçar publicá-los; as autoridades foram notificadas e uma perícia externa foi contratada. Ao longo de 2025, a empresa notificou cerca de 2,2 milhões de funcionários atuais e antigos e seus familiares, e disse não ter encontrado indícios de que os sistemas de pagamento ou de farmácia dos clientes tenham sido comprometidos — a contenção resistiu onde importava, ao custo de uma interrupção de serviço bastante pública.