Loblaw confirma violação de dados: Gigante varejista canadense revela que 'informações básicas de clientes' foram afetadas

A Loblaw confirmou a violação em 10 de março, mas só divulgou publicamente em 17 de março, um lapso que reforça o padrão canadense de notificação tardia sob a Lei PIPEDA, que exige aviso 'tão logo razoavelmente possível', sem prazo fixo. O ataque explorou um segmento de rede não crítico, mas com acesso lateral a sistemas de CRM e identidade: os dados roubados incluem nomes, e-mails e telefones, suficientes para disparar campanhas de phishing direcionadas contra clientes da PC Financial e da Shoppers Drug Mart, marcas sob o mesmo grupo.

O fato de a empresa ter forçado logout em todas as contas digitais mostra que o comprometimento foi detectado em tempo real no ambiente de autenticação, provavelmente via logs anômalos de acesso ao Oracle IDCS ou ao Salesforce, plataformas citadas nas alegações não confirmadas do Dark Web Informer. A recusa em comentar os números divulgados (75,1 milhões de registros no Salesforce, por exemplo) não invalida a ameaça: esses volumes são compatíveis com o tamanho da base de clientes da Loblaw, que ultrapassa 26 milhões de usuários ativos no programa PC Optimum.

Clientes brasileiros não estão diretamente expostos, mas o caso serve como alerta prático para varejistas locais que usam CRM em nuvem e integram identidade com bancos (como o Itaú no programa Extra+ ou o Bradesco no Clube Carrefour): um único ponto fraco em um ambiente de TI não crítico pode ser porta de entrada para ataques de engenharia social em larga escala. A ausência de vazamento de senhas ou dados de cartão é positiva, mas não elimina o risco operacional, fraudes por telefone ou e-mail usando informações reais têm taxa de sucesso até 3x maior que mensagens genéricas, segundo relatório da Canadian Anti-Fraud Centre de fevereiro de 2026.