Quando a rede vende no balcão, no site, no aplicativo e no marketplace, o cliente vira um cadastro só, com CPF, saldo de pontos e cartão salvo. Um ataque que começa num PDV ou num login de fidelidade alcança tudo o que está ligado a esse cadastro.
A página de e-commerce trata da loja que só vende online. No varejo omnicanal o escopo é maior: PDV e TEF nas lojas, rede de cada filial, retirada na loja, estoque compartilhado, aplicativo e programa de fidelidade. Sendo exato sobre as normas: o PCI DSS 4.0.1 exige pentest (requisito 11.4) do ambiente que armazena, processa ou transmite dado de cartão; quando o PDV e a rede da loja fazem parte desse ambiente, entram no teste, e quem usa segmentação para reduzir o escopo precisa provar que ela funciona (11.4.5). A LGPD exige medidas de segurança aptas a proteger o cadastro dos clientes (art. 46), e a ANPD já olhou para o setor: em 2023, publicou nota técnica sobre o varejo farmacêutico apontando falta de transparência no compartilhamento de dados com parceiros, inclusive os que operam programas de fidelidade, e desconto condicionado ao tratamento de dados. O golpe também usa o nome da marca: o levantamento da LDL Labs de novembro de 2026 mostrou que 42,4% das maiores lojas online do Brasil não bloqueiam e-mail falsificado em nome delas.
O que você recebe
- Pentest do aplicativo, do site e das APIs que unem loja física e online
- Teste da rede das lojas: PDV, Wi-Fi, servidores locais e segmentação do ambiente de cartão
- Teste do programa de fidelidade: tomada de conta, resgate de pontos e cupons por CPF
- Teste das integrações de estoque, retirada na loja e marketplaces
- Relatório no formato do PCI DSS para o que estiver no escopo de cartão, com o impacto de LGPD de cada achado
- Reteste antes das datas de pico
O que cobrimos
Lojas e PDV
PDV, TEF, Wi-Fi da loja, servidor local e acesso remoto de suporte.
Cadastro único do cliente
Login, recuperação de conta, CPF, endereço e histórico de compra.
Fidelidade e promoções
Pontos, cashback, cupons por CPF e resgates que viram produto ou desconto.
Integrações omnicanal
Estoque, retirada na loja, envio a partir da loja, marketplaces e ERP.
Indicado para
- Redes de lojas com site e aplicativo próprios
- Varejistas com programa de fidelidade ou cashback ligado ao CPF
- Redes de farmácia, moda, supermercado e materiais de construção com operação omnicanal
- Varejistas que processam cartão nas lojas e precisam validar o PCI DSS
Como conduzimos
Mapa do cliente omnicanal
Seguimos o cadastro do cliente do balcão ao aplicativo, passando por cada sistema.
Teste de aplicação e fidelidade
Login, pontos, cupons e APIs, com foco em tomada de conta e fraude.
Teste de loja
PDV, rede da filial e segmentação do ambiente de cartão, em horário combinado.
Relatório
Achados com impacto financeiro, de LGPD e de PCI DSS, separados por responsável.
Reteste
Confirmação das correções antes da próxima campanha.
Perguntas Frequentes
Qual a diferença entre pentest de varejo e de e-commerce?
O de e-commerce cobre a loja que só vende online: checkout, conta do cliente e promoções. O de varejo cobre a operação omnicanal, que soma a isso PDV, rede das lojas, retirada na loja, estoque integrado e programa de fidelidade usado no balcão e no aplicativo.
O PDV da loja precisa de pentest pelo PCI DSS?
Se o PDV ou a rede da loja armazena, processa ou transmite dado de cartão, ou está conectado a esse ambiente, entra no pentest do requisito 11.4, feito a cada 12 meses e após mudança significativa. Quem usa segmentação para tirar a rede da loja do escopo precisa comprovar, com teste de segmentação, que ela funciona (11.4.5).
Programa de fidelidade é alvo de ataque?
Sim, porque saldo de pontos e cashback viram produto ou desconto. Testamos tomada de conta, resgate indevido, cupom reutilizado e acesso a dado de outro cliente. A LGPD vale para esse cadastro, e a ANPD tratou de programas de fidelidade do varejo farmacêutico em nota técnica publicada em 2023.
Por que o e-mail falso em nome da marca entra no teste?
Porque golpe de promoção falsa e de pedido falso usa o nome da loja. No levantamento da LDL Labs de novembro de 2026, 42,4% das maiores lojas online do Brasil não bloqueavam e-mail falsificado em nome do próprio domínio. Verificar SPF, DKIM e DMARC faz parte do escopo.
O teste atrapalha a venda nas lojas?
Não deve. Testes em PDV e na rede das filiais são feitos em janela combinada e, quando possível, numa loja-piloto, sem nada que interrompa a venda sem aprovação.