Observatório de Incidentes de Dados
Quatro em cada cinco pequenas empresas sofreram um incidente de dados recente. E um único incidente pode custar a uma pequena empresa mais de 1 milhão de dólares. Então porque é que não ouvimos mais notícias sobre incidentes de dados?
A Proton não espera que os incidentes sejam reportados. Em vez disso, acedemos à dark web e monitorizamos as fugas em tempo real. Clique abaixo para ver se foi afetado e, para reduzir o seu risco, utilize um gestor de palavras-passe para empresas.
Raaga
O que aconteceu?
Um conjunto de dados contendo mais de 10 milhões de registos do serviço indiano de streaming de música Raaga apareceu na dark web na sequência de um incidente que terá ocorrido em dezembro de 2025. Os dados comprometidos incluem nomes, datas de nascimento, números de telefone, endereços de e-mail, nomes de utilizador e palavras-passe. Em janeiro de 2026, a empresa confirmou oficialmente(nova janela) o incidente e aconselhou os utilizadores a alterar as suas palavras-passe e a ativar a autenticação de dois fatores para proteger as suas contas contra o acesso não autorizado.
Canada Goose
O que aconteceu?
Em fevereiro de 2026, a marca canadiana de vestuário de luxo Canada Goose esteve associada a uma exposição de dados envolvendo quase um milhão de registos de clientes. Numa declaração oficial(nova janela), a empresa confirmou que os dados "parecem estar relacionados com transações passadas de clientes" e afirmou que o evento teve origem num incidente num terceiro em agosto de 2025. Os dados alvo de fuga incluíam nomes de clientes, endereços físicos, números de telefone e endereços de e-mail.
Association Nationale des Premiers Secours (ANPS)
O que aconteceu?
A Association Nationale des Premiers Secours (ANPS), uma organização sem fins lucrativos francesa de primeiros socorros, foi alvo de um ataque informático que resultou na fuga de mais de 300 000 registos. Os dados expostos incluíam informações pessoais e financeiras sensíveis, tais como nomes, datas de nascimento, endereços, números de telefone, endereços de e-mail e IBANs. A ANPS confirmou que a fuga teve origem num sistema legado(nova janela) e declarou ter notificado a Autoridade Francesa de Proteção de Dados (CNIL).
Substack
O que aconteceu?
A plataforma de publicação digital Substack foi afetada por um grande incidente de recolha de dados (scraping) de API que expôs as informações de contacto de mais de 660 000 utilizadores. O incidente ocorreu em outubro de 2025, mas foi revelado oficialmente a 6 de fevereiro de 2026(nova janela), poucos dias depois de um pirata informático conhecido como “w1kkid” ter divulgado o que alegava serem dados de utilizadores do Substack. Numa notificação enviada aos utilizadores, a empresa afirmou que as palavras-passe, os números dos cartões de pagamento e outras informações financeiras não foram expostas.
Bumble
O que aconteceu?
Em janeiro de 2026, a aplicação de encontros Bumble confirmou(nova janela) que a conta de um subcontratante foi comprometida num ataque de phishing, concedendo aos atacantes acesso não autorizado à sua rede interna. O grupo cibercriminoso ShinyHunters reivindicou a responsabilidade, alegadamente extraindo 30 GB de dados, incluindo documentos da empresa e informações de funcionários. Embora o Bumble tenha declarado que a sua base de dados de membros, contas de utilizadores e mensagens privadas não foram afetadas, uma ação judicial coletiva(nova janela) interposta em fevereiro de 2026 alega que uma vasta gama de informações de identificação pessoal (PII) dos utilizadores foi exposta num ataque "evitável".
Match Group
O que aconteceu?
Em janeiro de 2026, o Match Group, a empresa principal do Tinder e Hinge, confirmou(nova janela) um incidente de cibersegurança que envolveu uma "quantidade limitada de dados de utilizadores", afirmando que não havia “nenhuma indicação de que as credenciais dos utilizadores, as informações financeiras ou as comunicações privadas tivessem sido acedidas”. O ataque foi associado a uma campanha de phishing de voz (vishing) dos ShinyHunters(nova janela) direcionada ao seu fornecedor de identidade, a Okta. Os dados expostos incluíam informações pessoais e de contacto, tais como nomes, datas de nascimento, endereços, números de telefone e endereços de e-mail.
Panera Bread
O que aconteceu?
A cadeia americana de padarias e cafés Panera Bread sofreu um grande incidente de dados que expôs mais de 8 milhões de registos de clientes, incluindo nomes, datas de nascimento, números de telefone e endereços de e-mail. De acordo com The Register,(nova janela) o grupo cibercriminoso ShinyHunters obteve acesso aos sistemas internos da empresa comprometendo um código SSO do Microsoft Entra. O incidente fez parte da campanha mais ampla de phishing de voz (vishing)(nova janela) do grupo, que também afetou o Bumble, Match Group, SoundCloud e outros.
SoundCloud
O que aconteceu?
A plataforma de streaming de música SoundCloud foi afetada por uma exposição de dados que envolveu mais de 29 milhões de registos de utilizadores. O incidente fez parte da mesma campanha generalizada de "vishing"(nova janela) levada a cabo pelo grupo de agentes de ameaças ShinyHunters, que teve como alvo várias grandes empresas tecnológicas no início de 2026. O SoundCloud confirmou(nova janela) que a exposição envolveu nomes e endereços de e-mail de clientes, e esclareceu que "não foram acedidos nenhuns dados sensíveis (tais como dados financeiros ou palavras-passe)."
Thermomix (Vorwerk) – Fórum Mundo de Receitas
O que aconteceu?
Em janeiro de 2026, uma base de dados que continha mais de 3 milhões de registos de utilizadores do Fórum Thermomix Recipe World (Rezeptwelt) foi alvo de uma fuga online, na sequência de um incidente de segurança. A empresa principal Vorwerk confirmou(nova janela) que o incidente se limitou a um servidor subordinado gerido por um prestador de serviços externo e não afetou a sua plataforma central ou dispositivos ligados. Os dados comprometidos incluíam nomes, datas de nascimento, endereços, números de telefone, endereços de e-mail e nomes de utilizador.
Endesa
O que aconteceu?
Em janeiro de 2026, a empresa espanhola de energia Endesa notificou os clientes(nova janela) de um ataque informático que resultou na fuga de informações altamente sensíveis, incluindo nomes, códigos postais, números de telefone, endereços de e-mail, números de identificação civil e IBANs. A Endesa confirmou que estava a trabalhar com as autoridades para investigar o incidente, que provavelmente foi iniciado através de credenciais comprometidas.
Qantas Airways
O que aconteceu?
A companhia aérea nacional da Austrália, Qantas Airways Ltd., foi alvo de um grupo de hackers chamado Scattered Lapsus$ Hunters, que lançou um ataque de ransomware(nova janela). A empresa não pagou o resgate, o que levou a que mais de 11 milhões de registos de clientes fossem alvo de fuga na dark web. Foram expostos dados sensíveis, incluindo nomes de clientes, endereços e endereços de e-mail, mas não surgiram registos financeiros. A Qantas anunciou que reforçou as suas medidas de segurança na sequência do incidente de dados.
Vietnam Airlines
O que aconteceu?
Em outubro de 2025, um conjunto de dados obtido dos sistemas Salesforce de várias organizações foi divulgado online(nova janela) por um grupo de piratas informáticos conhecido como “Scattered LAPSUS$ Hunters”. Uma das empresas afetadas foi a Vietnam Airlines, em cujo ambiente Salesforce os atacantes tinham acedido anteriormente, em junho de 2025. O incidente expôs mais de 30 milhões de registos de clientes, incluindo nomes, datas de nascimento, endereços, números de telefone e endereços de e-mail.
Bouygues Telecom
O que aconteceu?
Em agosto de 2025, o fornecedor de telecomunicações francês Bouygues Telecom reportou um ataque informático(nova janela) que levou à exposição de quase 6,4 milhões de registos de clientes. Os dados alvo de fuga continham nomes, datas de nascimento, endereços, números de telefone, endereços de e-mail e IBANs. A empresa declarou que todos os clientes afetados foram notificados do incidente.
Miljödata
O que aconteceu?
Em agosto de 2025, o fornecedor de sistemas sueco Miljödata sofreu um ataque de ransomware (nova janela)que levou à publicação de dados roubados na dark web. As informações da fuga incluíam endereços de e-mail e palavras-passe, juntamente com informações pessoais adicionais, tais como nomes, datas de nascimento, endereços, números de telefone e números de identidade pessoal emitidos pelo governo.
Gratuito
O que aconteceu?
O segundo maior ISP e fornecedor de telefone de França, Free(nova janela), confirmou em outubro de 2024 que tinha sido alvo de um incidente de dados. Em maio de 2025, apareceram dados de clientes na dark web: nomes, datas de nascimento, números de telefone, endereços de e-mail e IBANs foram todos alvo de fuga. No total, mais de 19,5 milhões de registos apareceram online. A Comissão Nacional de Informática e Liberdades lançou um processo de sanções contra a Free em março de 2025.
Royal Mail
O que aconteceu?
O serviço postal britânico Royal Mail foi afetado por um incidente de dados (nova janela)que envolveu uma fuga de 144 GB de informações de clientes. De acordo com os relatórios, o incidente teve origem na Spectos, um prestador de serviços alemão utilizado pelo Royal Mail para monitorizar a qualidade da entrega. Os dados expostos incluíam nomes, datas de nascimento, endereços, números de telefone, endereços de e-mail e palavras-passe.
Hertz
O que aconteceu?
Em abril de 2025, a gigante mundial de aluguer de automóveis Hertz confirmou um incidente de dados(nova janela) que resultou na exposição de informações de clientes. O incidente foi causado por uma vulnerabilidade de software de terceiros no Cleo, um programa de transferência de ficheiros utilizado pela empresa. Os atacantes exploraram falhas "zero-day" no software para obter acesso não autorizado aos dados. Os dados comprometidos incluíam nomes, endereços de e-mail, nomes de utilizador e palavras-passe.
Orange Roménia
O que aconteceu?
Em fevereiro de 2025, um hacker com o nome Rey obteve mais de 3,4 milhões de registos do fornecedor de telecomunicações filial romena da Orange(nova janela). Dados incluindo nomes de clientes, datas de nascimento, endereços, números de telefone, endereços de e-mail, nomes de utilizador e números de identificação apareceram na dark web na sequência de um ataque de ransomware que a Orange recusou pagar. A Orange está a monitorizar o ataque juntamente com o Diretório Nacional de Cibersegurança da Roménia (DNSC).
Zacks Investment Research
O que aconteceu?
A empresa de pesquisa de investimentos sediada em Chicago, Zacks Investment Research(nova janela), foi atacada por hackers em junho de 2024. Em fevereiro de 2025, dados de clientes incluindo nomes, endereços, números de telefone, endereços de e-mail, nomes de utilizador e palavras-passe apareceram à venda online. A empresa ainda não abordou este incidente, tendo já sido afetada por múltiplos incidentes de dados nos últimos anos.
PhoneMondo
O que aconteceu?
Em janeiro de 2025, mais de 10,5 milhões de registos roubados da plataforma de telecomunicações alemã PhoneMondo apareceram na dark web. Os dados sensíveis incluem nomes, datas de nascimento, endereços, números de telefone, endereços de e-mail, nomes de utilizador, palavras-passe e IBANs. Em outubro de 2025, não parece que a PhoneMondo tenha reconhecido o incidente.
Mantenha o seu negócio fora desta lista
As suas palavras-passe e a autenticação multifator são a sua primeira linha de defesa contra hackers. Saiba como milhares de líderes de pequenas empresas agilizam a gestão de palavras-passe e protegem os seus dados.
Sobre o Observatório de Incidentes de Dados
- O que é o Observatório de Incidentes de Dados?
- Onde obtêm as vossas informações?
- Porquê noticiar incidentes de dados?
- A divulgação de incidentes de dados recentes não prejudica as empresas?
- Como é que os incidentes são adicionados ao Observatório de Fugas de Dados?
- Que dados são alvo de fuga?
- Que tipos de dados tornam um incidente crítico?
- O que significa a data de publicação do incidente?