Uma empresa que vende proteção de identidade perdeu 900 mil registros por uma ligação.
O acesso durou cerca de uma hora e começou com uma chamada fraudulenta contra um funcionário. A base atingida veio de uma ferramenta de marketing herdada de aquisição.
VishingA Aura, que vende serviços de proteção contra roubo de identidade e monitoramento de crédito, divulgou em março de 2026 que um terceiro não autorizado acessou a conta de um funcionário. O acesso foi obtido por meio de uma ligação telefônica fraudulenta dirigida a essa pessoa, e a janela de permanência foi de aproximadamente uma hora, até a detecção interna.
Foram alcançados cerca de 900 mil registros. A maior parte veio de uma ferramenta de marketing herdada de uma aquisição e continha apenas nomes e e-mails. Cerca de 20 mil clientes ativos e 15 mil ex-clientes tiveram nomes, e-mails, endereços e telefones expostos. A empresa afirma que a base que sustenta o produto de proteção não foi atingida.
Na data da reportagem, nenhum grupo havia reivindicado o ataque. Coberturas posteriores atribuem o caso ao ShinyHunters, atribuição que não consta de fonte primária nem foi confirmada pela empresa.
Vender segurança não imuniza contra o telefone. E o detalhe que mais se repete: a base atingida veio de uma aquisição, ou seja, de um sistema que entrou na empresa sem passar pelo mesmo escrutínio dos demais.
