Lupo confirma invasão ao sistema de pedidos: nome, CPF e endereço de quem comprou entre 2020 e 2023 podem ter sido acessados

Na sexta-feira, 2 de outubro, a Lupo — a centenária fabricante de meias e roupas íntimas de Araraquara (SP), dona também das marcas Trifil e Scala — informou ter identificado um incidente de segurança cibernética: entre 18 e 23 de setembro, alguém de fora acessou sem autorização os sistemas de gerenciamento de pedidos da companhia.

Os dados envolvidos são de compras feitas entre 2020 e 2023. Segundo a empresa, podem ter sido acessados nome, CPF, e-mail, telefone, endereço de entrega e informações dos pedidos. O detalhamento divulgado depois pela imprensa acrescenta o que essas “informações dos pedidos” significam na prática: número do pedido, valor da compra, data, local de entrega e dados da nota fiscal.

A Lupo afirma que o incidente não afetou as operações, que iniciou uma investigação com apoio especializado, que comunicou o caso à Autoridade Nacional de Proteção de Dados (ANPD), como manda a LGPD, e que, até agora, não há indícios de uso indevido das informações.

O perigo não é o CPF sozinho — é o contexto

CPF e endereço, infelizmente, já circulam em muitas bases vazadas. O que torna este caso diferente é o histórico de compra. Um golpista que sabe o número do seu pedido, o valor que você pagou e o endereço onde a encomenda chegou consegue montar uma mensagem praticamente impossível de distinguir de um contato verdadeiro.

A própria Lupo descreveu o roteiro que teme: criminosos usando informações reais dos pedidos para se passar pela Lupo, pela Trifil ou pela Scala, com falsas cobranças de taxa de entrega ou frete adicional e pedidos de pagamento por Pix ou boleto. A empresa ressalta que se trata de um risco, não de fraudes já confirmadas — mas é exatamente o tipo de golpe que funciona porque o detalhe confere.

É a mesma lógica que apareceu na invasão a um emissor de notas fiscais na Polônia, dias atrás: o dado roubado vale menos pelo que é e mais pela credibilidade que empresta a uma cobrança falsa.

O que a Lupo mudou depois

As medidas que a empresa tomou, segundo o relato publicado na imprensa, foram: isolar os sistemas afetados, cancelar credenciais, tornar obrigatória a autenticação multifator para os usuários das plataformas, determinar a troca de senhas e acrescentar bloqueios contra automação, contra acessos de regiões não autorizadas e contra volumes anormais de requisições.

A Lupo não detalhou por onde os invasores entraram, e não convém presumir. Mas a lista de correções, por si só, desenha um retrato conhecido: uma credencial válida nas mãos erradas, sem segundo fator de autenticação, e acesso automatizado sem limite de volume. É o padrão de boa parte das invasões a sistemas de retaguarda — e é por isso que o segundo fator e o limite de volume costumam ser as primeiras medidas depois de um incidente. O ideal é que sejam as primeiras antes.

Comprou na Lupo, na Trifil ou na Scala entre 2020 e 2023?

Três cuidados resolvem a maior parte do risco:

• Desconfie de qualquer cobrança “pendente” de pedido antigo — frete, taxa, reenvio, nota fiscal —, por WhatsApp, SMS, e-mail ou telefone, mesmo que a mensagem traga o número certo do pedido. Saber o número já não prova nada.
• Não pague Pix nem boleto a partir de link recebido. Se houver dúvida, procure a empresa pelos canais oficiais, digitando você mesmo o endereço do site.
• Lembre que CPF e endereço não mudam. O cuidado com abordagens que “já sabem tudo sobre você” vale por meses, não por dias.

Uma pergunta que fica

Parte do histórico de compras precisa mesmo ser guardada — documentos fiscais têm prazo legal de guarda. Mas vale a pergunta para qualquer loja, de qualquer tamanho: quanto desse histórico precisa estar no mesmo sistema operacional, acessível com login e senha, com CPF, telefone e endereço lado a lado? A LGPD chama isso de princípio da necessidade, e ele costuma ser lembrado só depois do incidente.

Dado de 2020 que não está mais ao alcance de um login não vaza em 2026.

Fontes

• InvestNews — “Lupo informa ataque cibernético com acesso a dados de clientes” (02/10/2026): investnews.com.br
• Economic News Brasil — “Ataque cibernético à Lupo pode facilitar golpes com dados reais de compras” (03/10/2026): economicnewsbrasil.com.br

• Lei Geral de Proteção de Dados (Lei 13.709/2018): planalto.gov.br

• Foto de capa: banco de praça com a marca Meias Lupo, em Pirassununga (SP) — Capmo, CC BY-SA 4.0, via Wikimedia Commons

• Segunda imagem: Shopping Lupo, em Araraquara (SP) — Sanbjork, CC BY-SA 4.0, via Wikimedia Commons