){kind=link}
Na última quinta-feira (23), dados de clientes da empresa Vakinha foram anunciados à venda em um fórum cibercriminoso. Segundo o autor da publicação, cerca de 18 milhões de registros teriam sido vazados a partir de um domínio administrativo no início deste mês de julho. Em um comunicado público à imprensa, a plataforma confirmou o incidente.
No texto, o Vakinha afirma que apenas informações cadastrais foram afetadas. Outros registros como dados sensíveis, meios de pagamento ou senhas também não foram expostos. A empresa ainda confirma que todas as autoridades competentes já foram notificadas sobre o incidente e que não há nenhuma ação necessária por parte dos usuários.
smart_display
Nossos vídeos em destaque
Exclusivamente ao TecMundo, o diretor do Vakinha, Luiz Gheller, comentou o caso: “Nós temos um compromisso com a segurança dos nossos usuários e com a transparência. Desde o primeiro momento em que identificamos esse ataque, tomamos todas as providências necessárias para garantir que nenhum dano fosse gerado aos nossos clientes”.
Gheller acrescenta: “Seguiremos aprimorando todos os nossos processos de segurança, sempre com a mesma responsabilidade que norteia a nossa atuação ao longo de 17 anos de história”.
Qual a origem do vazamento do Vakinha?
Na publicação do criminoso responsável pelo incidente, que usou o pseudônimo “vakinhaleak2026”, o texto afirma que os dados teriam sido vazados no dia 7 de julho de 2026. A origem do vazamento teria sido um acesso não autorizado a uma conta administrativa pertencente a um sistema do Vakinha.
Por meio da invasão de uma conta administrativa, que costuma possuir os mais altos privilégios de consulta, o criminoso alega ter acessado informações de usuários e realizado a extração automatizada dos dados. Ao todo, 18 milhões de registros teriam sido coletados. Para corroborar o relato, a publicação inclui uma amostra com informações de 19 usuários, além de duas imagens do sistema restrito que teria sido invadido.
Questionado pelo TecMundo, o diretor do Vakinha, Luiz Gheller, afirmou que o número de 18 milhões de registros não se refere a usuários únicos e foi inflacionado pelo criminoso. Segundo ele, a plataforma não possui esse número de cadastros e que o montante pode incluir dados duplicados.
Gheller também esclareceu que, até o momento, o vetor inicial de ataque não foi confirmado. Segundo ele, uma das principais hipóteses avaliadas é o vazamento de credenciais por meio de um infostealer, um tipo de vírus popularmente conhecido como ladrão de dados.
)
Nesse contexto, por meio de uma plataforma de monitoramento de incidentes cibernéticos, o TecMundo apurou que há pelo menos 18 emails associados ao domínio da plataforma Vakinha (@vakinha.com.br) expostos em redes criminosas por esse tipo de vírus. Além deles, ainda há outros três ativos e expostos em vazamentos recentes de dados.
Apesar das evidências encontradas, o TecMundo reforça que não é possível associar nenhuma das 21 credenciais expostas ao atual vazamento de dados do Vakinha.
Quais dados foram expostos pelo vazamento do Vakinha?
O TecMundo obteve acesso a amostras do vazamento do Vakinha e apurou quais dados foram expostos durante o incidente. Assim como confirma a empresa, as informações apresentadas se referem majoritariamente a dados cadastrais e de contato, mas também incluem CPFs e campos para valores financeiros já transicionados em cada conta.
O conjunto de dados acima é tecnicamente chamado de Informações Pessoais Identificáveis (PII). Ele recebe esse nome pela capacidade de permitir que um usuário, definido por um número (ID), seja associado a uma pessoa física.
Confira abaixo a estrutura do vazamento:
- Nome completo;
- CPF;
- E-mail cadastrado;
- Telefone informado;
- Status do cadastro;
- Data de criação do cadastro;
- Saldo disponível para saque;
- Valor líquido recebido;
- Contribuições registradas.
Ainda que sejam considerados os dados mais comuns durante o tratamento das informações, seu contexto e conjunto ainda podem oferecer riscos aos usuários. No caso do Vakinha, por exemplo, criminosos poderiam tentar extorquir usuários que possuem saldo disponível para saque na plataforma.
Como o conjunto extraído de dados está organizado, ele pode ser facilmente filtrado e consultado pelos criminosos. Basta selecionar quais usuários possuem saldo em conta e, em seguida, todas as informações de contato também estarão disponíveis.
A partir dessas informações, fraudes poderiam ser realizadas por e-mail ou telefone citando valores financeiros específicos que, idealmente, somente o dono dos dados deveria saber. Essa modalidade de golpe é chamada de “spear phishing”, um termo que deriva do inglês para “pescaria com lança”.
)
Nessa abordagem, os criminosos tentam ¨fisgar” suas vítimas com informações precisas e detalhadas, obtidas anteriormente durante uma extensa fase de preparo. Diferente da “pescaria” tradicional, o método tem mais chances de sucesso justamente por ser menos genérico e mais amparado por dados reais.
Nesse contexto, destaca-se que embora o valor total arrecadado pelas campanhas do Vakinha seja público, o saldo disponível para saque, com todos os descontos e taxas já calculados, não são.
No entanto, na amostra pública compartilhada pelo criminoso, todas as vítimas possuem o campo referente ao “Saldo Disponível para Saque” zerado. Essa evidência pode sugerir problemas na extração dos dados ou, mais simplesmente, que as vítimas exemplificadas não possuíam valores financeiros a receber.
Qual a diferença entre dados sensíveis e dados cadastrais?
Em seu comunicado, o Vakinha reitera que não houve exposição de dados sensíveis ou senhas, os separando das informações cadastrais citadas acima. Essa diferenciação é amparada justamente pela Lei Geral de Proteção de Dados (LGPD), que também define um conjunto de regras específicas para proteger essa categoria.
Na prática, os dados sensíveis são informações que podem oferecer um maior nível de risco aos usuários em caso de exposição. Eles se referem a registros que contenham detalhes sobre sua origem racial ou étnica, crenças religiosas, opiniões políticas, filiação sindical, dados genéticos e biométricos, além de informações relacionadas à saúde ou à vida sexual.
)
O maior nível de proteção dessas informações busca evitar, em termos simples, a discriminação contra usuários. Por exemplo, se um registro de saúde pessoal com informações sobre uma doença grave for vazado, planos de saúde mal-intencionados podem usar o registro para negar ou aumentar preços cotados arbitrariamente – sem informar o usuário das razões.
Quais as responsabilidades do Vakinha diante de um vazamento de dados?
Como controladora de dados pessoais de milhões de doadores e organizadores, o Vakinha se enquadra nas obrigações previstas na Lei Geral de Proteção de Dados (LGPD). Ela exige medidas técnicas e administrativas às empresas, que devem ser capazes de proteger dados pessoais contra acessos não autorizados e situações de vazamento.
Diante de um incidente de segurança como o relatado, o artigo 48 da LGPD determina que o controlador comunique à Autoridade Nacional de Proteção de Dados (ANPD) e aos titulares afetados a ocorrência de incidente que possa acarretar risco ou dano relevante.
Além do dever de notificação, a empresa responde pela adequação de suas práticas de segurança da informação ao princípio da responsabilização e prestação de contas, previsto na LGPD. Isso pode incluir a manutenção de registros de operações de tratamento, avaliação de impacto à proteção de dados e adoção de medidas como criptografia, controle de acesso e testes periódicos de vulnerabilidade.
Em caso de descumprimento recorrente ou de falha comprovada nos deveres de segurança, a ANPD pode aplicar sanções que vão de advertência a multas de até 2% do faturamento da empresa no Brasil, limitadas a R$ 50 milhões por infração. Além disso, a empresa também deve restituir prejuízos provocados aos titulares dos dados, desde que eles comprovem que foi causado pelo respectivo incidente.
No comunicado, o Vakinha confirma que já tomou todas as medidas necessárias, conforme dispõe a LGPD. Leia na íntegra:
- Comunicado aos usuários
“O Vakinha informa que, apesar de todos os cuidados de segurança da informação, foi vítima de um crime cibernético, que resultou no acesso não autorizado de um invasor a dados cadastrais. Assim que o incidente foi identificado, em 14 de julho, todas as medidas cabíveis foram tomadas para conter o acesso não autorizado.
A empresa ressalta que não houve prejuízo financeiro ou à segurança dos usuários, tampouco acesso a dados sensíveis ou senhas. Além disso, as informações sobre valores arrecadados nas campanhas já são públicas na plataforma, uma vez que o Vakinha trabalha com transparência na divulgação das campanhas. Por isso, não é necessária nenhuma ação por parte dos usuários, que podem continuar utilizando a plataforma normalmente.
A empresa sempre pautou sua relação com usuários e clientes pela transparência, responsabilidade e cuidado com as informações. Por isso, desde a identificação do ocorrido, vem adotando todas as medidas necessárias para apurar o incidente, reforçar os sistemas e proteger os usuários.
As autoridades competentes foram devidamente comunicadas. O caso também está sendo acompanhado por equipes especializadas em segurança da informação e direito digital.
Lamentamos a preocupação que essa situação possa causar e reafirmamos nosso compromisso de agir com responsabilidade, transparência e cuidado.”
Como se proteger após o vazamento do Vakinha
Embora o Vakinha afirme que não é necessária nenhuma ação por parte dos usuários, o conjunto de informações cadastrais vazadas ainda pode ser explorado por criminosos em golpes direcionados. Dados como nome, CPF, e-mail, telefone e informações financeiras podem aumentar a credibilidade de tentativas de fraude por telefone, SMS, WhatsApp ou e-mail.
- Desconfie de contatos que citem dados da sua conta: criminosos podem usar informações reais para convencer a vítima de que representam o Vakinha ou outra instituição;
- Nunca informe códigos de autenticação ou senhas: o Vakinha não solicita esse tipo de informação por telefone, WhatsApp ou e-mail;
- Verifique cuidadosamente remetentes e links: antes de clicar em qualquer mensagem relacionada à plataforma, confirme se o endereço pertence realmente à empresa;
- Fique atento a tentativas de extorsão: caso sua conta possua ou tenha possuído valores para saque, desconfie de contatos que mencionem saldos, transferências ou supostos bloqueios financeiros;
- Monitore movimentações suspeitas: acompanhe regularmente seus e-mails, contas financeiras e cadastros para identificar qualquer atividade incomum;
- Redobre a atenção com golpes de phishing: mensagens que criam senso de urgência, prometem desbloqueios ou pedem confirmação de dados devem ser tratadas com cautela;
- Mantenha a autenticação em dois fatores ativada;
- Em caso de dúvida, procure apenas os canais oficiais do Vakinha: evite responder diretamente a mensagens recebidas e entre em contato com a empresa pelos meios divulgados em seu site oficial.
Siga o TecMundo no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais notícias e análises diretamente no seu e-mail.