Vazamentos de dados em grandes empresas

Binance

O FBI atribuiu à Coreia do Norte, por meio da atividade que chama de TraderTraitor, o roubo de criptoativos da corretora Binance ocorrido por volta de 29 de outubro de 2026. Segundo o FBI, os atacantes convertem os ativos roubados principalmente em Ether antes de lavá-los.

Afetados: Mais de 6 bilhões de dólares em criptoativos roubados

O que aprender: Deixar recursos em uma corretora é confiar na segurança dela: após um ataque, desconfie de mensagens que prometem devolver seu dinheiro.

Booking.com

A Booking.com avisou clientes que terceiros não autorizados podem ter acessado dados de reservas, nomes, e-mails, endereços e telefones. A empresa disse que dados financeiros não foram obtidos de seus sistemas e trocou os PINs das reservas; especialistas alertaram para golpes de "sequestro de reservas".

O que aprender: Nunca pague nem passe seu cartão por e-mail, telefone ou chat, mesmo que a mensagem conheça sua reserva: confira no aplicativo oficial.

Scotiabank Colpatria

Em setembro de 2025, foi noticiada uma sanção da SIC após a confirmação de que um ex-funcionário vazou informações de 712.371 clientes e as vendeu a um call center. Os envios ocorreram durante seu vínculo com o banco, entre 2019 e 2022.

Afetados: 712.371 clientes

O que aprender: Vazamentos também vêm de dentro: se ligarem oferecendo produtos com seus dados, verifique antes de responder.

Interbank

Em 30 de outubro, o Interbank confirmou que um terceiro havia exposto, sem autorização, alguns dados de um grupo de clientes. O banco anunciou monitoramento adicional e afirmou que os depósitos e produtos financeiros estavam seguros.

O que aprender: Dinheiro seguro não significa dados seguros: desconfie de ligações e mensagens que usem seus dados bancários.

National Public Data

A empresa de comercialização de dados confirmou uma invasão após circularem arquivos atribuídos aos seus sistemas com nomes, números de Seguro Social e dados de contato. O total de pessoas afetadas continuava incerto; linhas de uma base não equivalem a pessoas únicas.

O que aprender: Monitore seu histórico de crédito e considere bloquear novas solicitações de crédito.

AT&T

Invasores baixaram registros de chamadas e mensagens de um ambiente em uma plataforma de nuvem terceirizada. Eram metadados de comunicação, não o conteúdo das chamadas ou mensagens.

Afetados: Aproximadamente 109 milhões de contas

O que aprender: Desconfie de ligações que usem informações sobre seus contatos para parecer legítimas.

Snowflake

Uma campanha roubou dados de ambientes de clientes da Snowflake usando credenciais comprometidas, inclusive obtidas por malware. A Mandiant não encontrou evidências de que o acesso tivesse resultado de uma invasão do ambiente corporativo da Snowflake.

O que aprender: Ative a autenticação multifator e remova credenciais antigas de serviços de nuvem.

Dropbox Sign

Um invasor acessou o ambiente de produção e obteve dados de clientes, hashes de senhas e informações de autenticação, como chaves de API e tokens OAuth. A Dropbox não encontrou evidências de acesso a documentos, contratos ou informações de pagamento.

O que aprender: Além de trocar a senha, revogue tokens e substitua as chaves de API afetadas.

Change Healthcare

Um ataque de ransomware comprometeu informações pessoais e de saúde processadas por essa prestadora de serviços de saúde. O incidente também causou interrupções generalizadas no processamento de solicitações de pagamento médico.

O que aprender: Confira seus demonstrativos médicos para identificar serviços que você não recebeu.

23andMe

O acesso não autorizado a contas expôs informações de ancestralidade de outros usuários conectados pelo recurso DNA Relatives. A exposição foi além das contas acessadas diretamente.

O que aprender: Use senhas exclusivas e revise o que compartilha com parentes genéticos.

IFX Networks

Um ataque de ransomware criptografou sistemas do provedor de nuvem e interrompeu serviços de instituições colombianas. Os invasores alegaram ter roubado dados de clientes; essa alegação não deve ser tratada como um vazamento publicamente verificado.

O que aprender: Mantenha backups independentes do seu provedor de nuvem.

Progress MOVEit Transfer

O grupo CL0P explorou uma vulnerabilidade de injeção SQL no MOVEit Transfer para roubar arquivos de organizações que usavam o produto. Foi uma campanha contra instalações de vários clientes, não uma única base central.

O que aprender: Instale atualizações de segurança e reduza os arquivos sensíveis mantidos em serviços de transferência.

Keralty / Sanitas

Após o ataque iniciado em novembro, a Keralty confirmou em dezembro que criminosos tinham arquivos corporativos com informações pessoais, demonstrações financeiras e orçamentos. Naquele momento, a empresa afirmou não ter identificado comprometimento de prontuários ou dados financeiros de terceiros.

O que aprender: Confirme por canais oficiais qualquer solicitação que use dados do seu plano de saúde.

Dropbox

Uma campanha de phishing que se passava pela CircleCI acessou repositórios do GitHub com código, chaves de API e alguns nomes e endereços de e-mail. A Dropbox informou que conteúdos das contas, senhas e dados de pagamento dos usuários não foram acessados.

O que aprender: Use autenticação resistente a phishing quando disponível.

Twitter

Uma falha da plataforma comprometeu dados de contas e foi corrigida antes da divulgação pública em 2022. O Twitter distinguiu esse incidente confirmado de outras grandes bases anunciadas depois, que não conseguiu vincular a uma nova invasão.

Afetados: 5,4 milhões de contas

O que aprender: Não presuma que um perfil com pseudônimo não possa ser associado à sua identidade.

LastPass

O roubo inicial de código e informações técnicas facilitou um ataque posterior a backups na nuvem. Em dezembro, a LastPass confirmou o roubo de dados de clientes e cópias de cofres com campos criptografados e outros sem criptografia, como URLs de sites.

O que aprender: Use uma senha mestra forte e substitua os segredos afetados, não apenas a senha mestra.

Logbank

O incidente ocorrido em 24 e 25 de janeiro de 2022 expôs dados cadastrais vinculados a 2.112 chaves Pix da Logbank. Os dados incluíam nome, CPF, instituição financeira e número da conta.

Afetados: Dados vinculados a 2.112 chaves Pix

O que aprender: Desconfie de cobranças ou mensagens que citem sua chave Pix e seu CPF para parecer oficiais.

Acesso Soluções de Pagamentos

O Ministério da Justiça investigou um vazamento de chaves Pix sob responsabilidade da Acesso que poderia expor telefones e e-mails. A notificação pediu esclarecimentos sobre a origem e a duração da exposição, sem estabelecer um mecanismo definitivo de ataque.

Afetados: Mais de 160,1 mil chaves Pix

O que aprender: Confira a identidade do destinatário antes de autorizar um Pix.

Banese

O incidente de 24 de agosto de 2021, comunicado em setembro, expôs dados vinculados a 414.526 chaves Pix do Banese. As informações incluíam nome, CPF, instituição financeira e números de agência e conta.

Afetados: Dados vinculados a 414.526 chaves Pix

O que aprender: Saber sua conta não prova que alguém é do banco: confirme sempre pelo aplicativo oficial.

T-Mobile

Uma invasão expôs nomes, datas de nascimento, números de Seguro Social e informações de carteiras de motorista de clientes atuais, antigos e potenciais. O relato inicial citado não identificou comprometimento de informações financeiras.

O que aprender: Proteja sua conta telefônica com um PIN e fique atento ao uso indevido da sua identidade.

Facebook

Números de telefone e outros dados de perfis apareceram em uma base pública em 2021. O Facebook atribuiu a coleta ao uso abusivo de um recurso antes de setembro de 2019, não a uma nova invasão em 2021.

O que aprender: Limite quem pode encontrar você pelo telefone ou e-mail.

Brasil — CPF

A ANPD abriu uma investigação sobre um vazamento em massa de dados pessoais associados a CPFs. O comunicado tratou a dimensão como informação relatada por pesquisadores e não confirmou uma empresa de origem nem o método de extração.

O que aprender: Desconfie de mensagens que apresentem seu CPF como prova de legitimidade.

Facebook / Instagram

O Facebook confirmou que algumas senhas eram armazenadas em formato legível em seus sistemas internos; em abril, ampliou o alcance para milhões de usuários do Instagram. A empresa afirmou que elas não eram visíveis fora do Facebook e que não havia encontrado evidências de abuso ou acesso interno indevido.

O que aprender: Nem grandes empresas guardam sempre bem suas senhas: use uma diferente em cada serviço.

Marriott / Starwood

Invasores comprometeram sistemas da Starwood em 2014 e mantiveram acesso após a aquisição pela Marriott. A invasão, detectada em 2018, afetou dados pessoais de hóspedes e informações de cartões.

O que aprender: Confira as transações dos seus cartões após avisos de segurança de hotéis.

Facebook

Atacantes exploraram uma combinação de três falhas relacionadas ao recurso "Ver como" para roubar tokens de acesso. O Facebook atualizou o alcance em outubro: cerca de 30 milhões de contas tiveram tokens roubados, e dados de 29 milhões foram acessados.

Afetados: Cerca de 30 milhões de contas com tokens roubados; dados acessados de 29 milhões

O que aprender: Revise de vez em quando as sessões abertas das suas redes e encerre as que não reconhecer.

Netshoes

O MPDFT informou o vazamento de dados de 1.999.704 contas da Netshoes, incluindo nomes, CPF, e-mails, datas de nascimento e históricos de compras. Segundo a autoridade, senhas e informações de cartões de crédito não foram reveladas.

Afetados: 1.999.704 contas

O que aprender: Um histórico de compras vazado torna mais críveis mensagens falsas de entrega ou reembolso.

Equifax

A Equifax anunciou uma violação que expôs informações pessoais mantidas para relatórios de crédito. A FTC vinculou o incidente a falhas nas práticas de segurança da empresa.

Afetados: 147 milhões de pessoas

O que aprender: Confira seus relatórios de crédito e considere um bloqueio de crédito.

Yahoo

O Yahoo sofreu incidentes distintos em 2013 e 2014: o de 2014 foi divulgado em setembro de 2016 e o de 2013 em dezembro. Dados de contas foram expostos; em 2017, o alcance do incidente de 2013 foi revisado para todas as contas existentes, sem incluir senhas em texto simples.

O que aprender: Troque senhas reutilizadas e evite respostas reais em perguntas de segurança.

Dropbox

A Dropbox confirmou em 2016 que uma lista de e-mails e hashes de senhas com salt era autêntica e provavelmente havia sido obtida em 2012. A empresa redefiniu senhas antigas e informou não ter indícios de acesso indevido às contas dos usuários.

Afetados: 68 milhões de credenciais

O que aprender: Troque também qualquer senha reutilizada em outros serviços.

Adobe

Um ataque roubou nomes de usuário e senhas criptografadas, além de código-fonte de produtos Adobe. Informações de pagamento de uma parte dos clientes também foram afetadas.

Afetados: Aproximadamente 38 milhões de usuários ativos

O que aprender: Use senhas exclusivas para que um vazamento não comprometa outras contas.

LinkedIn

Uma invasão em 2012 expôs credenciais protegidas por um mecanismo fraco de hash de senhas. Em maio de 2016, surgiu uma coleção muito maior atribuída ao mesmo incidente, não a uma nova invasão.

O que aprender: Ative a verificação em duas etapas e não reutilize senhas profissionais.