Em atualização publicada em 19 de outubro de 2026, a varejista holandesa Ahold Delhaize — dona de redes de supermercado como Albert Heijn, na Holanda, e Giant, Stop & Shop e Food Lion, nos Estados Unidos — confirmou que a atividade suspeita detectada em sua infraestrutura de TI, revelada pela primeira vez em 12 de outubro, foi resultado de ação maliciosa de terceiros. Como medida de precaução, a empresa tirou do ar sites e aplicativos de praticamente todas as suas marcas na Europa e nos EUA; as lojas físicas continuaram funcionando normalmente. Uma semana depois do primeiro aviso, o site e o aplicativo da Albert Heijn já haviam voltado ao ar, com entregas em casa previstas para retomar em 23 de outubro; o comércio eletrônico das marcas americanas e de parte da Europa Central e do Sudeste ainda estava em processo de restauração por fases. A empresa contratou especialistas externos para investigar o caso, notificou o Centro Nacional de Segurança Cibernética da Holanda dentro de 24 horas após detectar a atividade, e registrou boletim de ocorrência junto à polícia holandesa. Até a data da atualização, a Ahold Delhaize afirmava não ter evidências de que dados sensíveis de clientes, funcionários ou parceiros tenham sido extraídos, mas a investigação segue em curso.

Por que isso importa para uma PME brasileira: o caso mostra que mesmo uma multinacional com equipe de segurança dedicada pode ficar mais de uma semana com parte do canal de vendas online fora do ar depois de um ataque — e que a decisão de desligar sistemas por precaução, mesmo custando receita no curto prazo, é uma prática recomendada para conter o problema. Para uma PME que depende de e-commerce, marketplace ou aplicativo próprio para vender, um incidente desse tipo pode significar dias sem conseguir faturar pelo canal digital, aumento do volume de atendimento e desgaste de confiança do cliente. O episódio também reforça uma lição sobre prazos: notificar a autoridade correta rapidamente — no Brasil, a ANPD deve ser avisada em até três dias úteis em caso de incidente com dados pessoais, como este jornal já noticiou — só é possível se a empresa já sabe, antes do problema acontecer, quem decide o quê e a quem recorrer.

O que fazer agora: monte, ainda que de forma simples, um plano de resposta a incidentes por escrito, com o nome de quem decide tirar sistemas do ar, quem fala com o cliente e quem aciona a ANPD se necessário (veja o guia prático da CISA sobre o tema nesta mesma edição). Evite depender de um único canal de vendas: ter opções como atendimento por telefone, WhatsApp Business ou venda presencial ajuda a manter o negócio funcionando enquanto sistemas online estão fora do ar. Tenha contato prévio com um fornecedor de TI ou especialista em segurança que possa ser acionado rapidamente, em vez de procurar um durante a crise. E lembre-se de que fornecedores e integrações terceirizadas também fazem parte da sua superfície de risco — peça aos parceiros que compartilham sistemas com sua empresa informações sobre como eles respondem a incidentes.

Fonte primária: comunicado oficial da Ahold Delhaize sobre o status do incidente de segurança cibernética.