Hacked, leaked, and held for ransom: The worst breaches of 2026 so far
Se há algo que 2026 deixou claro é que a segurança cibernética não é mais uma preocupação secundária — ela está em primeiro plano, presente em quase todas as principais notícias do ano. Sim, as guerras continuam violentas, o clima não para de piorar e, aparentemente, estamos a um espirro suspeito de distância da próxima pandemia global.
Mas, por trás de tudo isso, corre uma corrente digital que afeta tudo: guerras sendo travadas tanto nas frentes digitais quanto nas físicas, governos usando os próprios dados dos cidadãos como arma contra eles, botnets minando silenciosamente as instituições democráticas, hackers de Estados-nação atacando infraestruturas civis — de redes de energia a sistemas de abastecimento de água — e gangues de ransomware mantendo empresas e instituições como reféns em troca de resgates astronômicos. Os ataques estão se tornando mais ousados, mais destrutivos e mais difíceis de conter.
À medida que entramos na segunda metade deste ano já de si terrível, marcado por ataques digitais e guerra híbrida, veja a seguir alguns dos piores ataques e violações de segurança até agora, e como eles podem nos afetar daqui para frente.
Um ano depois, após agentes do grupo de destruidores do governo liderado por Elon Musk — conhecido como Departamento de Eficiência Governamental (ou DOGE) — terem invadido e desmantelado agências federais de dentro para fora, ainda estamos descobrindo os vazamentos de dados que ocorreram sob sua supervisão.
Depois que o DOGE invadiu a Administração da Previdência Social, ainda não está claro o que aconteceu com alguns dos dados mais confidenciais do país, enquanto os processos judiciais seguem em andamento na justiça federal. A alegação mais alarmante de um denunciante é que o DOGE enviou uma cópia ativa do banco de dados da Previdência Social para um servidor de terceiros não seguro, o que levou a uma corrida para entender o que estava armazenado nele. Esse banco de dados supostamente continha os números de Previdência Social e informações pessoais associadas da maioria dos americanos vivos.
Nos autos judiciais, a Administração da Previdência Social não sabe ao certo o que havia no servidor, mas afirmou que a DOGE assinou um acordo com um grupo externo de defesa política sob o pretexto de encontrar evidências de fraude eleitoral — algo que o presidente Trump continua alegando sem qualquer prova. O receio é que o banco de dados possa ser usado indevidamente para perseguir americanos por motivos espúrios.
Dois dos principais democratas da Câmara dos Deputados que investigam algumas das atividades do DOGE na Administração da Previdência Social afirmaram que a exposição do banco de dados da Previdência Social do governo “pode muito bem ser a maior violação de dados da história do nosso país”.
Uma onda de ataques cibernéticos por toda a Europa, visando o abastecimento civil de energia e água — como usinas de energia e barragens —, tem marcado uma tendência preocupante nos últimos tempos. Vários ataques atribuídos à Rússia (ou, pelo menos, parcialmente atribuídos a ela) representaram risco de danos reais a comunidades e populações.
A rede de energia da Polônia foi alvo de um malware capaz de destruir computadores no final do ano passado, assim como uma usina térmica sueca e uma barragem norueguesa que derramou uma quantidade de água equivalente a várias piscinas. Os hackers voltaram a atacar a Polônia no início deste ano, desta vez visando suas estações de tratamento de água, demonstrando que o antagonismo da guerra híbrida da Rússia continua a se estender além do âmbito digital.
Agora, graças à recente guerra entre os EUA e Israel contra o Irã, há alertas de que hackers iranianos estão visando infraestruturas críticas nos Estados Unidos. Isso inclui concessionárias de água privadas, que continuam sendo um alvo fácil para hackers, muitas vezes sem proteções básicas de segurança cibernética.
Falando do Irã, um ataque cibernético a uma empresa americana de tecnologia médica, a Stryker, em março, viu hackers iranianos invadirem o sistema e apagarem remotamente dezenas de milhares de dispositivos de funcionários de uma só vez, causando uma interrupção generalizada nas operações da empresa por vários dias.
A violação representou uma mudança marcante nas táticas de hacking iranianas em um momento de guerra em curso no Oriente Médio, com o Irã deixando de lado seu foco típico em espionagem e operações de invasão e vazamento de dados — destinadas a promover ganhos políticos para o país — para passar a realizar ativamente ataques destrutivos, em aparente retaliação à guerra. O governo dos EUA atribuiu o grupo de hackers responsável pela violação a um braço da inteligência iraniana. A violação acabou tendo um impacto significativo nos lucros do primeiro trimestre da Stryker, mesmo após a empresa ter recuperado o controle de seus sistemas.
A empresa de pesquisa de mercado Klue esteve no centro de uma violação em massa de dados que afetou cerca de 200 empresas, das quais várias eram gigantes da segurança cibernética, como Jamf, HackerOne e LastPass. Foi uma das maiores violações de dados do ano, afetando uma grande quantidade de clientes da Klue, menos de um ano depois que a empresa demitiu metade de sua equipe para se dedicar mais intensamente à IA.
A Klue admitiu que a quadrilha de extorsão, apelidada de Icarus, invadiu seus sistemas usando uma credencial que ela havia emitido em 2022 para um projeto-piloto limitado, o que sugere que a empresa teve cerca de quatro anos para desativar a credencial antes que ela fosse roubada e usada para invadir seus sistemas. Na violação de dados, a Klue expôs as chaves de acesso aos serviços em nuvem de seus clientes, permitindo que os hackers invadissem e roubassem esses bancos de dados para extorquir essas empresas em troca de um resgate.
Embora governos e pesquisadores frequentemente exortem as vítimas a não pagar resgates para impedir que os hackers lucrem com o crime cibernético, a Klue informou a seus clientes que havia chegado a um acordo com os hackers para não publicar os dados roubados — o que sugere fortemente que a empresa tenha pago a eles.
Mas, como parte do acordo, os hackers admitiram que outro grupo de hackers também possuía uma parte dos dados dos clientes da Klue e instaram essas empresas vítimas a não lhes pagarem.
Os ShinyHunters continuaram suas campanhas de hacking, visando dezenas de empresas com técnicas simples, mas altamente eficazes, de phishing por voz. Os hackers, que falam inglês, são hábeis em enganar as empresas para que concedam acesso aos seus sistemas internos, fingindo ser o suporte de TI ou, inversamente, um funcionário que esqueceu sua senha.
Poucas empresas conhecem melhor o impacto que um ataque dos ShinyHunters pode causar do que a gigante de tecnologia educacional Instructure. Os hackers invadiram o Canvas, o principal sistema de gestão de aprendizagem da empresa, para roubar dados privados e informações pessoais pertencentes a mais de 30 milhões de alunos e funcionários. Quando a empresa se recusou a pagar o resgate exigido pelos hackers, eles invadiram o sistema — mais uma vez — e vandalizaram as telas de login do Canvas, usadas pelos alunos para acessar seus materiais de provas e trabalhos acadêmicos. Esse segundo ataque ocorreu durante as provas finais do semestre, prejudicando os exames de alunos em todo o território dos Estados Unidos. A Instructure acabou pagando o resgate, apesar dos esforços do FBI para dissuadir a empresa de fazê-lo.
A Instructure não foi, de longe, a única empresa alvo dos hackers do ShinyHunters. O grupo está por trás de algumas das maiores violações em termos de número de registros roubados, incluindo cerca de 40 milhões de registros da provedora de internet Charter e pelo menos 6 milhões de registros de clientes da empresa de cruzeiros Carnival, entre outras vítimas nos setores de ensino superior, finanças e governo.
Uma série de ataques contínuos, simultâneos e, ocasionalmente, sobrepostos a desenvolvedores de código aberto resultou em invasões em grande escala contra grandes empresas de tecnologia e seus clientes.
Alguns dos maiores nomes da área de segurança, incluindo a ferramenta Trivy da Aqua Security, Bitwarden e Checkmarx, juntamente com outros grandes projetos de código aberto, foram comprometidos este ano, permitindo que os hackers roubassem senhas, credenciais e outros tokens confidenciais dos computadores de qualquer pessoa que tivesse instalado uma cópia do software com backdoor, ou cujo software pré-instalado tivesse sido atualizado automaticamente para baixar o malware.
Esses ataques utilizaram as credenciais roubadas para se espalhar ainda mais e abriram caminho para comprometimentos em cadeia de grandes empresas que dependem do software visado, incluindo a gigante de IA OpenAI e a empresa de hospedagem web Vercel. Com um novo ataque quase toda semana, o mundo do código aberto continua sendo um alvo vulnerável no ecossistema tecnológico mais amplo.
O Departamento Federal de Investigação dos EUA (FBI) foi forçado a declarar um “grande incidente cibernético” em abril, o que exigiu uma divulgação obrigatória por lei ao Congresso, após identificar que um de seus sistemas de vigilância havia sido comprometido. Segundo relatos, a violação expôs potencialmente números de telefone de alvos sob vigilância por agentes federais.
Espiões chineses foram acusados de invadir a rede não confidencial, que continha informações sensíveis sobre os alvos de vigilância de escutas telefônicas e outras interceptações de comunicação, como registros de chamadas. Ao notificar os legisladores, é provável que a violação tenha atingido o limite de causar “dano comprovável” à segurança nacional dos EUA.
Quando um hack não é exatamente um hack? Quando você simplesmente pede acesso e o obtém. Foi o que aconteceu com milhares de contas do Instagram que foram invadidas no início de 2026, quando as pessoas abusaram do chatbot de IA da Meta para redefinir senhas de contas.
Os sequestros de contas, relatados pela primeira vez pela 404 Media, ocorreram ao longo de vários meses e só foram percebidos depois que notícias sobre a vulnerabilidade começaram a vazar na internet. Veja como o ataque funcionava: as pessoas iniciavam um chat com o chatbot de IA da Meta e fingiam que não conseguiam mais acessar uma conta. Ao solicitar ao chatbot que enviasse um código de redefinição de senha para um endereço de e-mail escolhido pelo invasor, este obtinha acesso à conta da vítima.
O incidente afetou dezenas de milhares de contas antes que o acesso indevido fosse descoberto e bloqueado. Foi uma falha embaraçosa e de grande repercussão na segurança — e na confiança — para uma das maiores empresas de tecnologia do mundo.
A gigante fabricante de brinquedos Hasbro é o exemplo mais recente do que acontece quando uma grande corporação é atingida por um incidente de segurança e não está preparada para isso. Semanas após descobrir hackers em seus sistemas no final de março, a empresa de 103 anos permaneceu praticamente fora do ar, com seu site indisponível e incapaz de atender seus clientes.
A empresa, dona de marcas famosas como Transformers, Peppa Pig e Dungeons & Dragons, pouco se pronunciou sobre o incidente em si, quais dados foram roubados (se é que houve algum) e se pagou aos hackers. Mas a interrupção por si só provavelmente afetará as finanças da empresa, cuja divulgação de resultados financeiros foi adiada, enquanto a empresa se esforçava para lidar com o incidente.
A Hasbro informou, em meados de maio, que os hackers não estão mais em seus sistemas e que a recuperação estava em andamento. No entanto, os custos financeiros da violação e o efeito cascata sobre seus negócios provavelmente se tornarão evidentes nos próximos meses e devem ser substanciais.
Somente nos últimos meses, houve um aumento nos grandes vazamentos de dados envolvendo documentos de identidade confidenciais emitidos pelo governo, incluindo digitalizações de passaportes e carteiras de motorista deixadas expostas na internet. Desde um sistema de check-in de hotel e um aplicativo de transferência de dinheiro até um provedor de telefones públicos em prisões e um serviço de vistos do Reino Unido, esses serviços expuseram documentos pessoais de mais de dois milhões de pessoas, que podem ser facilmente utilizados de forma indevida. Muitos desses casos foram causados por simples falhas de segurança que poderiam ter sido facilmente evitadas com práticas básicas de segurança cibernética.
Esses vazamentos massivos de dados ocorrem em um momento em que aplicativos e sites de comunidades fechadas estão cada vez mais recorrendo a verificações do tipo “conheça seu cliente” para obrigar os usuários a comprovar sua identidade antes de serem admitidos, e os governos estão promovendo leis de verificação de idade que exigem verificações de identidade semelhantes de adultos para acessar uma ampla parcela da internet.
A lógica é a seguinte: quanto maiores os vazamentos, menos eficazes são esses sistemas de verificação de identidade, já que podem ser facilmente utilizados de forma indevida com um passaporte ou carteira de motorista roubada ou vazada. A implantação cada vez mais ampla desses sistemas de coleta de identificação levará inevitavelmente a mais violações de dados e falhas de segurança.
