---
url: 'https://www.corbado.com/pt/blog/data-breaches-uk'
title: 'As 10 Maiores Violações de Dados no Reino Unido [2026]'
description: 'Aprenda sobre as maiores violações de dados no Reino Unido, por que o país é um alvo atraente para ataques cibernéticos e como elas poderiam ter sido evitadas.'
lang: 'pt'
author: 'Alex'
date: '2026-05-22T08:10:07.389Z'
lastModified: '2026-08-29T06:03:03.349Z'
keywords: 'violação de dados Reino Unido, maior violação de dados Reino Unido 2025, ataque cibernético Reino Unido, vazamento de dados de usuários Reino Unido, hack de dados Reino Unido, maiores violações de dados Reino Unido 2025, empresas hackeadas no Reino Unido'
category: 'Authentication'
---

# As 10 Maiores Violações de Dados no Reino Unido [2026]

## Key Facts

- A **violação da Equifax** (2017) é a maior violação de dados já registrada no Reino
  Unido, comprometendo dados pessoais e de referência de crédito de aproximadamente 15
  milhões de indivíduos por meio de uma vulnerabilidade não corrigida no Apache Struts.
- **74% das grandes empresas do Reino Unido** e 70% das empresas de médio porte relataram
  violações ou ataques cibernéticos em 2024, com o impacto financeiro médio atingindo US$
  4,53 milhões por incidente.
- A maioria das grandes violações no Reino Unido resultou de **falhas evitáveis**:
  vulnerabilidades não corrigidas, bancos de dados mal configurados e fraco gerenciamento
  de credenciais de funcionários, em vez de ataques sofisticados.
- **O atraso na divulgação das violações** repetidamente ampliou os danos: o banco de
  dados desprotegido da Virgin Media permaneceu publicamente acessível por quase dez
  meses, e a EasyJet esperou quatro meses antes de notificar os clientes afetados.
- **Os dados financeiros** são o alvo principal das violações no Reino Unido: a Dixons
  Carphone expôs 5,9 milhões de registros de cartões de pagamento; a British Airways
  enfrentou uma multa do ICO que foi finalmente reduzida para £ 20 milhões.

## 1. Introdução: Por que as Violações de Dados são um Risco para as Organizações no Reino Unido?

As violações de dados representam uma ameaça crescente para as organizações do Reino
Unido, com quase metade das empresas (43%) e quase um terço das instituições de caridade
(30%) sofrendo pelo menos um incidente cibernético apenas no ano passado. Os ataques de
[phishing](https://www.corbado.com/glossary/phishing) continuam sendo a principal causa dessas violações,
mostrando vulnerabilidades contínuas nas medidas de
[segurança](https://www.corbado.com/pt/blog/senhas-complexas-quebradas-em-breve) baseadas em pessoas. O simples
volume de dados comprometidos continua alarmante: com mais de 30,5 bilhões de registros
violados em 8.839 incidentes divulgados publicamente em 2024. As grandes empresas estão
particularmente em risco, com 74% das grandes empresas e 70% das empresas de médio porte
relatando violações ou ataques cibernéticos em 2024. As implicações financeiras são
severas, com média de US$ 4,53 milhões por violação, mas além dos custos monetários, as
violações de dados quebram a confiança do consumidor e prejudicam a reputação
organizacional, às vezes de forma irreparável. À medida que as violações se tornam mais
frequentes com 21% das organizações relatando incidentes mensais e 18% até mesmo semanais,
o rápido crescimento do setor de
[segurança cibernética](https://www.corbado.com/pt/blog/vazamento-de-dados-medibank) do Reino Unido, agora
avaliado em £ 11,9 bilhões anuais e empregando mais de 58.000 profissionais, destaca a
urgência crescente por defesas cibernéticas robustas.

Neste blog, analisamos as dez violações de dados mais significativas da história do Reino
Unido, descobrindo como ocorreram, seus impactos e as lições que as organizações devem
aprender para se protegerem contra ameaças futuras.

## 2. Por que o Reino Unido é um Alvo atraente para Violações de Dados?

Tendo uma das maiores economias do mundo, o Reino Unido é um alvo atraente para os
cibercriminosos devido a alguns critérios distintos:

### 2.1 Presença de Grandes Organizações Financeiras, Jurídicas e de Varejo

O Reino Unido é o lar de inúmeras instituições financeiras globais, escritórios de
advocacia proeminentes e grandes varejistas, todos os quais gerenciam vastas quantidades
de dados corporativos, financeiros e pessoais sensíveis. As entidades financeiras lidam
com registros detalhados de clientes e dados de transações de alto valor, enquanto os
escritórios de advocacia gerenciam arquivos de casos confidenciais e comunicações
corporativas sensíveis. Os varejistas mantêm perfis de consumidores abrangentes, incluindo
detalhes de [pagamento](https://www.corbado.com/passkeys-for-payment) e pessoais. A natureza altamente sensível e
o alto volume dessas informações tornam esses setores particularmente interessantes para
os cibercriminosos que buscam cometer roubo de identidade, fraude financeira ou lucrar com
a revenda de dados roubados na [dark web](https://www.corbado.com/pt/blog/dark-web-seguranca). Consequentemente,
essas organizações permanecem consistentemente alvos principais de ataques cibernéticos
sofisticados.

### 2.2 Rápida Transformação Digital e Expansão da Superfície de Ataque

O dinâmico setor de tecnologia do Reino Unido e a rápida transformação digital aceleraram
a adoção de sistemas interconectados, computação em nuvem e plataformas digitais em
empresas de todos os tamanhos. Embora isso tenha melhorado a eficiência operacional e a
inovação, simultaneamente ampliou a superfície de ataque disponível para os
cibercriminosos. A maior dependência da conectividade digital significa que mesmo uma
única aplicação vulnerável ou sistema não seguro pode fornecer aos atacantes um ponto de
entrada para toda a infraestrutura de uma organização. À medida que as empresas do Reino
Unido continuam a adotar soluções digitais (desde plataformas de
[e-commerce](https://www.corbado.com/passkeys-for-e-commerce) e serviços baseados em nuvem até dispositivos da
Internet das Coisas (IoT)), a sua potencial exposição a
[ameaças cibernéticas](https://www.corbado.com/pt/blog/o-papel-da-ia-na-deteccao-de-ameacas-ciberneticas)
aumenta, tornando-as alvos especialmente atrativos para agentes maliciosos que procuram
explorar essas vulnerabilidades digitais.

### 2.3 Requisitos Inconsistentes de Relatório de Violações

Ao contrário de muitos outros países com estruturas regulatórias rigorosas, o Reino Unido
atualmente carece de obrigações legais uniformes que exijam que todas as organizações
relatem todas as violações de [segurança](https://www.corbado.com/pt/blog/senhas-complexas-quebradas-em-breve).
Esse ambiente de relatórios fragmentado frequentemente resulta em subnotificação
significativa de incidentes de [segurança](https://www.corbado.com/pt/blog/senhas-complexas-quebradas-em-breve)
cibernética. Como muitas violações permanecem não reveladas, especialmente aquelas
percebidas como menos graves ou potencialmente prejudiciais à reputação de uma
organização. A verdadeira escala e escopo das
[ameaças cibernéticas](https://www.corbado.com/pt/blog/o-papel-da-ia-na-deteccao-de-ameacas-ciberneticas) no
Reino Unido se tornam difíceis de avaliar com precisão. Essa subnotificação não apenas
obscurece o impacto total dos incidentes cibernéticos, mas também retarda os esforços
coordenados para desenvolver medidas de
[segurança cibernética](https://www.corbado.com/pt/blog/vazamento-de-dados-medibank) eficazes, compartilhar
inteligência sobre ameaças e responder proativamente a ameaças emergentes.
Consequentemente, os cibercriminosos muitas vezes operam com menor risco de detecção
imediata e repressão.

## 3. As Maiores Violações de Dados no Reino Unido

A seguir, você encontrará uma lista das maiores violações de dados no Reino Unido. As
violações de dados são classificadas pelo número de contas impactadas em ordem
decrescente.

3.1 [Violação de Dados](https://www.corbado.com/pt/blog/vazamento-de-dados-medibank) da Equifax (2017)

![Equifax_Logo.png](https://s3.eu-central-1.amazonaws.com/corbado-cloud-staging-website-assets/Equifax_Logo_3e3b24ef89.png)

| Detalhes                      | Informação                                              |
| ----------------------------- | ------------------------------------------------------- |
| Data                          | Maio–julho de 2017 (divulgada em setembro de 2017)      |
| Número de Clientes Impactados | Aproximadamente 15 milhões de indivíduos no Reino Unido |
| Dados Violados                | - Nomes                                                 |
|                               | - Datas de nascimento                                   |
|                               | - Endereços                                             |
|                               | - Endereços de e-mail                                   |
|                               | - Números de telefone                                   |
|                               | - Números da carteira de motorista                      |
|                               | - Dados parciais de cartão de crédito                   |
|                               | - Detalhes de referência de crédito                     |

Entre maio e julho de 2017, a Equifax sofreu uma grave
[violação de dados](https://www.corbado.com/pt/blog/vazamento-de-dados-medibank) que afetou cerca de 15 milhões
de clientes do Reino Unido, tornando-se a maior
[violação de dados](https://www.corbado.com/pt/blog/vazamento-de-dados-medibank) relatada no país até o momento.
A violação ocorreu devido a uma vulnerabilidade no Apache Struts, uma estrutura de
aplicativo da web de código aberto amplamente utilizada. Os cibercriminosos exploraram a
vulnerabilidade conhecida, que a Equifax não conseguiu corrigir prontamente, obtendo
acesso não autorizado a dados pessoais sensíveis. As informações comprometidas incluíam
nomes completos, datas de nascimento, endereços, números de telefone, endereços de e-mail,
números da [carteira](https://www.corbado.com/pt/blog/garantia-carteiras-digitais) de motorista, informações
parciais de cartão de crédito e detalhes críticos de referência de crédito. A Equifax
enfrentou críticas significativas pelo atraso na divulgação pública do incidente, medidas
de resposta a incidentes insuficientes e protocolos de segurança negligentes, resultando
em danos à reputação, penalidades regulatórias e várias ações judiciais caras.

**Métodos de prevenção:**

- Implementar avaliações de vulnerabilidade regulares e rigorosas e aplicar correções de
  segurança críticas prontamente.

- Manter o monitoramento avançado e as capacidades de
  [detecção de ameaças](https://www.corbado.com/pt/blog/o-papel-da-ia-na-deteccao-de-ameacas-ciberneticas) em
  tempo real para identificar e responder rapidamente a invasões.

- Estabelecer protocolos de resposta a incidentes robustos, incluindo processos de
  divulgação pública claros e imediatos.

### 3.2 Violação de Dados da Dixons Carphone (2017)

![Dixons_Carphone_logo.png](https://s3.eu-central-1.amazonaws.com/corbado-cloud-staging-website-assets/Dixons_Carphone_logo_5d4fcb62ca.png)

| Detalhes                      | Informação                                                   |
| ----------------------------- | ------------------------------------------------------------ |
| Data                          | Julho de 2017 – abril de 2018 (divulgada em junho de 2018)   |
| Número de Clientes Impactados | Aproximadamente 10 milhões de indivíduos                     |
| Dados Violados                | - Nomes                                                      |
|                               | - Endereços                                                  |
|                               | - Endereços de e-mail                                        |
|                               | - Detalhes do cartão de pagamento (5,9 milhões de registros) |

Entre julho de 2017 e abril de 2018, a Dixons Carphone, uma das principais varejistas de
eletrônicos do Reino Unido, sofreu uma violação de dados significativa impactando cerca de
10 milhões de clientes. Os cibercriminosos obtiveram acesso não autorizado aos sistemas de
processamento internos da empresa (supostamente por meio de terminais de ponto de venda
infectados com [malware](https://www.corbado.com/glossary/malware)), expondo dados pessoais sensíveis, incluindo
nomes, endereços, endereços de e-mail e aproximadamente 5,9 milhões de registros de
cartões de [pagamento](https://www.corbado.com/passkeys-for-payment). Embora a Dixons Carphone tenha subestimado
inicialmente a escala, investigações posteriores revelaram o extenso impacto da violação.
O Information Commissioner's Office (ICO) do Reino Unido multou mais tarde a Dixons
Carphone em £ 500.000, destacando graves deficiências nas medidas de
[segurança cibernética](https://www.corbado.com/pt/blog/vazamento-de-dados-medibank) da empresa e o atraso na
resposta na detecção e mitigação da violação.

**Métodos de prevenção:**

- Fortalecer os sistemas de processamento de [pagamento](https://www.corbado.com/passkeys-for-payment) com
  criptografia de ponta a ponta e tokenização para proteger os dados do titular do cartão.

- Implantar soluções avançadas de detecção e monitoramento de invasões para identificar e
  responder rapidamente a atividades suspeitas.

- Garantir procedimentos de detecção e relatório de incidentes oportunos para mitigar o
  impacto da violação e as penalidades regulatórias.

### 3.3 Violação de Dados da EasyJet (2020)

![EasyJet_logo.png](https://s3.eu-central-1.amazonaws.com/corbado-cloud-staging-website-assets/Easy_Jet_logo_bb77c0189e.png)

| Detalhes                      | Informação                                          |
| ----------------------------- | --------------------------------------------------- |
| Data                          | Janeiro de 2020 (divulgada em maio de 2020)         |
| Número de Clientes Impactados | Aproximadamente 9 milhões de indivíduos             |
| Dados Violados                | - Nomes                                             |
|                               | - Endereços de e-mail                               |
|                               | - Detalhes de reserva de viagem                     |
|                               | - Detalhes do cartão de pagamento (2.208 registros) |

Em janeiro de 2020, a [companhia aérea](https://www.corbado.com/passkeys-for-airlines) do Reino Unido EasyJet
sofreu um [ataque cibernético](https://www.corbado.com/pt/glossary/ataque-cibernetico) significativo que
comprometeu os dados pessoais de cerca de 9 milhões de clientes. Os atacantes obtiveram
acesso não autorizado ao sistema de reservas da EasyJet (supostamente através de um ataque
direcionado e altamente sofisticado, explorando vulnerabilidades na infraestrutura de TI
da [companhia aérea](https://www.corbado.com/passkeys-for-airlines)), obtendo nomes de clientes, endereços de
e-mail, detalhes de reserva de [viagem](https://www.corbado.com/passkeys-for-travel) e, notavelmente, informações
de cartão de pagamento de mais de 2.200 indivíduos. A EasyJet enfrentou críticas pelo
atraso na divulgação pública, esperando quatro meses antes de informar os clientes
afetados, expondo-os a um risco aumentado de ataques de [phishing](https://www.corbado.com/glossary/phishing)
direcionados e fraudes. O Information Commissioner's Office (ICO) lançou uma investigação,
que finalmente destacou os pontos fracos nas práticas de segurança cibernética da EasyJet,
especialmente em relação aos procedimentos de detecção e resposta a violações.

**Métodos de prevenção:**

- Fortalecer o controle de acesso e os protocolos de
  [autenticação](https://www.corbado.com/pt/blog/webauthn-relying-party-id-rpid-passkeys), utilizando
  [autenticação](https://www.corbado.com/pt/blog/webauthn-relying-party-id-rpid-passkeys) multifator (por
  exemplo, [chaves de acesso](https://www.corbado.com/pt/glossary/cda)) para proteger os sistemas de reserva de
  clientes.

- Implementar capacidades de monitoramento e detecção de invasões em tempo real para
  identificar prontamente e mitigar acessos não autorizados.

- Assegurar protocolos de notificação de violações rápidos e transparentes para reduzir o
  risco de fraudes secundárias ou ataques de [phishing](https://www.corbado.com/glossary/phishing).

### 3.4 Violação de Dados do Serviço Nacional de Saúde (NHS) (2011)

![National_Health_Service_logo.png](https://s3.eu-central-1.amazonaws.com/corbado-cloud-staging-website-assets/National_Health_Service_logo_79db6d9279.png)

| Detalhes                      | Informação                                        |
| ----------------------------- | ------------------------------------------------- |
| Data                          | Julho de 2011 – julho de 2012 (divulgada em 2012) |
| Número de Clientes Impactados | Aproximadamente 8,6 milhões de indivíduos         |
| Dados Violados                | - Nomes                                           |
|                               | - Datas de nascimento                             |
|                               | - Números do NHS                                  |
|                               | - Registros médicos e de saúde                    |

Entre julho de 2011 e julho de 2012, o Serviço Nacional de Saúde (NHS) do Reino Unido
sofreu uma das suas mais graves violações de dados quando um laptop contendo registros
médicos confidenciais de aproximadamente 8,6 milhões de indivíduos desapareceu de uma
instalação do NHS. O laptop, que pertencia a um contratado do NHS encarregado da análise
de dados médicos, guardava informações de pacientes altamente sensíveis, incluindo nomes,
datas de nascimento, números do NHS e históricos médicos detalhados. Embora o laptop
estivesse protegido por uma senha simples, era notável a ausência de criptografia, o que
levantou preocupações significativas sobre o potencial acesso não autorizado e o uso
indevido de registros de pacientes sensíveis.

A violação atraiu intenso escrutínio e críticas de reguladores, defensores da privacidade
e do público em geral, destacando vulnerabilidades graves na forma como o NHS gerenciava e
protegia os dados dos pacientes. Investigações revelaram falhas sistêmicas na abordagem do
NHS à governança de dados, supervisão inadequada de prestadores de serviços terceirizados
e falta de conscientização entre os funcionários em relação às políticas de segurança de
dados. O Information Commissioner's Office (ICO) impôs uma multa monetária substancial ao
NHS, e o incidente motivou uma revisão nacional dos procedimentos de
[proteção de dados](https://www.corbado.com/pt/blog/manuseio-seguro-documentos) nas instituições de
[saúde](https://www.corbado.com/passkeys-for-healthcare). Além disso, a violação aumentou a ansiedade pública
sobre a segurança das informações de saúde pessoal, impulsionando debates sobre a
necessidade urgente de aprimorar as medidas de segurança na gestão de dados de
[saúde](https://www.corbado.com/passkeys-for-healthcare).

**Métodos de prevenção:**

- Exigir a criptografia de disco completo para todos os dispositivos portáteis e mídias de
  armazenamento utilizados no setor de [saúde](https://www.corbado.com/passkeys-for-healthcare) para proteger as
  informações confidenciais dos pacientes.

- Fortalecer a supervisão e as auditorias de conformidade de segurança para contratados
  terceirizados que lidam com dados do NHS, garantindo a adesão a rigorosos padrões de
  [proteção de dados](https://www.corbado.com/pt/blog/manuseio-seguro-documentos).

- Fornecer treinamento de segurança cibernética abrangente e contínuo aos funcionários e
  prestadores de serviço do NHS, enfatizando as melhores práticas para o gerenciamento de
  registros de pacientes sensíveis e prevenindo a perda ou roubo de dados.

### 3.5 Violação de Dados da Virgin Media (2019)

![Virgin_Media.png](https://s3.eu-central-1.amazonaws.com/corbado-cloud-staging-website-assets/Virgin_Media_7a29c291d0.png)

| Detalhes                      | Informação                                                     |
| ----------------------------- | -------------------------------------------------------------- |
| Data                          | Abril de 2019 – fevereiro de 2020 (divulgada em março de 2020) |
| Número de Clientes Impactados | Aproximadamente 900.000 indivíduos                             |
| Dados Violados                | - Nomes                                                        |
|                               | - Endereços residenciais                                       |
|                               | - Endereços de e-mail                                          |
|                               | - Números de telefone                                          |
|                               | - Detalhes do contrato                                         |

Entre abril de 2019 e fevereiro de 2020, a Virgin Media sofreu uma significativa violação
de dados devido a um banco de dados de marketing não seguro que foi deixado acessível
online sem proteção por senha. As informações pessoais confidenciais de aproximadamente
900.000 clientes, incluindo nomes, endereços residenciais, endereços de e-mail, números de
telefone e detalhes sobre contratos de serviço, foram expostas. Embora a violação tenha
sido descoberta internamente, a Virgin Media enfrentou críticas por permitir que o banco
de dados mal configurado permanecesse publicamente acessível por quase dez meses. O
incidente destacou grandes deficiências nas práticas de governança de dados da Virgin
Media, resultando em aumento de riscos de phishing e possível uso indevido de dados de
clientes. Os clientes afetados subsequentemente iniciaram ações judiciais contra a
empresa, ressaltando as consequências financeiras e de reputação.

**Métodos de prevenção:**

- Implementar medidas rigorosas de segurança e controle de acesso a todos os bancos de
  dados, especialmente aqueles que contenham informações confidenciais de clientes.

- Auditar regularmente as configurações de infraestrutura e empregar ferramentas
  automatizadas para detectar e remediar configurações incorretas rapidamente.

- Fornecer
  [treinamento em segurança cibernética](https://www.edstellar.com/category/cybersecurity-training)
  abrangente para os funcionários responsáveis por gerenciar dados sensíveis e
  configurações do sistema.

### 3.6 Violação de Dados da JD Wetherspoon (2015)

![JD-Wetherspoon-logo.jpg](https://s3.eu-central-1.amazonaws.com/corbado-cloud-staging-website-assets/JD_Wetherspoon_logo_b90c9f343f.jpg)

| Detalhes                      | Informação                                                 |
| ----------------------------- | ---------------------------------------------------------- |
| Data                          | Junho de 2015 (divulgada em dezembro de 2015)              |
| Número de Clientes Impactados | Aproximadamente 656.000 indivíduos                         |
| Dados Violados                | - Nomes                                                    |
|                               | - Datas de nascimento                                      |
|                               | - Endereços de e-mail                                      |
|                               | - Números de telefone                                      |
|                               | - Dados parciais de cartão de pagamento (aprox. 100 casos) |

Em junho de 2015, a JD Wetherspoon, uma das maiores e mais populares redes de pubs do
Reino Unido, sofreu um incidente cibernético significativo que afetou aproximadamente
656.000 clientes. Os cibercriminosos exploraram vulnerabilidades em um banco de dados
desatualizado associado ao antigo site da empresa e ao serviço de registro Wi-Fi para
clientes. Essa violação resultou na exposição de informações pessoais sensíveis, incluindo
nomes, endereços de e-mail, datas de nascimento e números de telefone. Mais preocupante
ainda, aproximadamente 100 clientes também tiveram detalhes parciais do cartão de
pagamento comprometidos, aumentando o medo sobre possíveis fraudes financeiras.

A JD Wetherspoon enfrentou críticas intensas devido ao seu atraso na divulgação pública,
com clientes e reguladores sendo informados sobre a violação apenas quase seis meses
depois que ocorreu, em dezembro de 2015. Esse atraso aumentou significativamente o risco
de mais danos, à medida que os indivíduos afetados permaneceram inconscientes e
vulneráveis a tentativas de phishing e fraudes. A violação destacou fraquezas críticas na
postura de segurança cibernética da empresa, particularmente em torno do gerenciamento de
sistemas legados e práticas de manuseio de dados. Também incitou discussões em todo o
setor de hospitalidade a respeito da importância de medidas proativas de segurança e
comunicação transparente no rescaldo de incidentes de dados.

**Métodos de prevenção:**

- Revisar e desativar com segurança os sistemas legados de forma regular para reduzir a
  exposição de bancos de dados desatualizados.

- Fortalecer a segurança dos bancos de dados aplicando controles rigorosos de acesso,
  criptografia e medidas de monitoramento.

- Estabelecer procedimentos claros e oportunos de comunicação de violações para manter a
  confiança dos clientes e estar em conformidade com as expectativas regulatórias.

### 3.7 Violação de Dados da British Airways (2018)

![british-ariways.png](https://s3.eu-central-1.amazonaws.com/corbado-cloud-staging-website-assets/british_ariways_677c2ced89.png)

| Detalhes                      | Informação                                                       |
| ----------------------------- | ---------------------------------------------------------------- |
| Data                          | Junho de 2018 – setembro de 2018 (divulgada em setembro de 2018) |
| Número de Clientes Impactados | Aproximadamente 500.000 indivíduos                               |
| Dados Violados                | - Nomes                                                          |
|                               | - Endereços de e-mail                                            |
|                               | - Detalhes do cartão de pagamento                                |
|                               | - Números CVV                                                    |
|                               | - Informações da reserva                                         |

Entre junho e setembro de 2018, a British Airways sofreu uma grande violação de dados
afetando aproximadamente 500.000 clientes, causada por um
[ataque cibernético](https://www.corbado.com/pt/glossary/ataque-cibernetico) sofisticado conhecido como
"Magecart". Os atacantes comprometeram o sistema de pagamento on-line da British Airways
inserindo scripts maliciosos no site da empresa e em seu aplicativo móvel. Como resultado,
os cibercriminosos conseguiram coletar extensos dados pessoais e financeiros, incluindo
nomes, endereços de e-mail, detalhes completos do cartão de pagamento, números CVV e
informações da reserva.

A British Airways foi duramente criticada por medidas inadequadas de segurança cibernética
e atrasos na detecção da violação, que durou quase três meses antes de ser descoberta. O
Information Commissioner's Office (ICO) do Reino Unido inicialmente pretendia multar a
British Airways em um recorde de £ 183 milhões por violações das regras de proteção de
dados no âmbito do RGPD. No entanto, isso foi posteriormente reduzido para £ 20 milhões
depois que a [companhia aérea](https://www.corbado.com/passkeys-for-airlines) cooperou com a investigação e
demonstrou melhorias. O incidente causou não apenas danos financeiros e de reputação
significativos à British Airways, mas também provocou uma conscientização mais ampla sobre
as vulnerabilidades no processamento de
[pagamentos](https://www.corbado.com/pt/blog/credenciais-digitais-pagamentos) on-line nos setores de aviação e de
[viagens](https://www.corbado.com/passkeys-for-travel).

**Métodos de prevenção:**

- Realizar testes de segurança regulares de sites e gateways de pagamento para detectar e
  eliminar vulnerabilidades de imediato.

- Implementar web application firewalls (WAFs) robustos e soluções de monitoramento em
  tempo real para identificar e bloquear atividades maliciosas rapidamente.

- Adotar práticas seguras de codificação e avaliações rigorosas de riscos dos
  fornecedores, especialmente quando da integração com soluções de pagamento de terceiros.

### 3.8 Violação de Dados da Wonga (2017)

![Wonga-logo.png](https://s3.eu-central-1.amazonaws.com/corbado-cloud-staging-website-assets/Wonga_logo_6f77298842.png)

| Detalhes                      | Informação                                    |
| ----------------------------- | --------------------------------------------- |
| Data                          | Abril de 2017 (divulgada em abril de 2017)    |
| Número de Clientes Impactados | Aproximadamente 245.000 indivíduos            |
| Dados Violados                | - Nomes                                       |
|                               | - Endereços de e-mail                         |
|                               | - Endereços residenciais                      |
|                               | - Números de telefone                         |
|                               | - Detalhes da conta bancária                  |
|                               | - Informações parciais do cartão de pagamento |

Em abril de 2017, a provedora de
[empréstimos do dia de pagamento (payday loan)](https://www.wagedayadvance.co.uk/) baseada
no Reino Unido, Wonga, sofreu um [ataque cibernético](https://www.corbado.com/pt/glossary/ataque-cibernetico)
significativo, resultando na exposição de informações pessoais e financeiras sensíveis de
aproximadamente 245.000 clientes. Os invasores ganharam acesso não autorizado aos sistemas
da empresa muito provavelmente devido a controles internos fracos e medidas de
[autenticação](https://www.corbado.com/pt/blog/webauthn-relying-party-id-rpid-passkeys) inadequadas, extraindo
nomes de clientes, endereços de e-mail, endereços residenciais, números de telefone,
detalhes de contas bancárias e informações parciais de cartão de pagamento. A violação
representou riscos substanciais aos clientes afetados, deixando-os vulneráveis ​​a roubo
de identidade, golpes de phishing e fraude financeira.

A Wonga informou prontamente aos clientes e autoridades reguladoras após descobrir a
violação, mas o incidente levantou sérias preocupações em relação às defesas de segurança
cibernética da empresa e às práticas de gerenciamento de dados de clientes. As
investigações revelaram inadequações na infraestrutura de segurança da Wonga,
particularmente em torno do controle de acesso,
[detecção de ameaças](https://www.corbado.com/pt/blog/o-papel-da-ia-na-deteccao-de-ameacas-ciberneticas) e
padrões de criptografia para dados financeiros confidenciais. A violação prejudicou
significativamente a reputação da Wonga e minou a confiança do cliente, em última
instância, tornando-se um dos fatores que contribuíram para as dificuldades financeiras da
empresa e subsequente colapso em 2018.

**Métodos de prevenção:**

- Implementar práticas robustas de criptografia e de armazenamento seguro para dados
  financeiros e pessoais para se proteger contra acessos não autorizados.

- Aprimorar o monitoramento em tempo real e as capacidades de detecção de invasões para
  identificar rapidamente as violações e mitigar o seu impacto.

- Realizar auditorias de segurança cibernética regulares e oferecer
  [treinamento para funcionários](https://www.learnsignal.com/training-for-businesses/)
  para manter a conformidade com as melhores práticas e melhorar a prontidão de resposta a
  incidentes.

### 3.9 Violação de Dados da Three Mobile UK (2016)

![Logo_of_Three_UK.svg](https://s3.eu-central-1.amazonaws.com/corbado-cloud-staging-website-assets/Logo_of_Three_UK_36e338e2b4.svg)

| Detalhes                      | Informação                                       |
| ----------------------------- | ------------------------------------------------ |
| Data                          | Novembro de 2016 (divulgada em novembro de 2016) |
| Número de Clientes Impactados | Aproximadamente 210.000 indivíduos               |
| Dados Violados                | - Nomes                                          |
|                               | - Números de telefone                            |
|                               | - Endereços                                      |
|                               | - Datas de nascimento                            |
|                               | - Detalhes da conta                              |

Em novembro de 2016, a provedora de telecomunicações do Reino Unido Three Mobile
experimentou um ataque cibernético significativo, que comprometeu os dados pessoais de
aproximadamente 210.000 clientes. A violação ocorreu depois que cibercriminosos obtiveram
acesso não autorizado ao banco de dados de atualização de conta de cliente da empresa
usando credenciais de login de funcionários. Os atacantes tinham como objetivo principal o
pedido fraudulento e a interceptação de aparelhos móveis caros, explorando as informações
pessoais dos clientes (incluindo nomes, números de telefone, endereços, datas de
nascimento e detalhes de contas) para facilitar esse esquema.

A Three Mobile agiu rapidamente assim que a violação foi descoberta, alertando prontamente
os clientes afetados e cooperando plenamente com as autoridades reguladoras. No entanto, o
incidente levantou preocupações sobre as práticas de segurança internas da empresa,
especialmente em relação ao gerenciamento de credenciais de funcionários, controles de
acesso e procedimentos de tratamento de dados de clientes. Ele destacou os riscos
colocados por ameaças internas e ataques de phishing visando as credenciais de
funcionários, ressaltando a necessidade de forte treinamento de segurança cibernética
interno e mecanismos robustos de autenticação. A violação causou danos à reputação e
serviu como um lembrete à indústria de [telecomunicações](https://www.corbado.com/passkeys-for-telecom) sobre a
importância de garantir de forma proativa os dados do cliente contra
[ameaças cibernéticas](https://www.corbado.com/pt/blog/o-papel-da-ia-na-deteccao-de-ameacas-ciberneticas)
direcionadas.

**Métodos de prevenção:**

- Implementar a autenticação multifator (por exemplo,
  [chaves de acesso](https://www.corbado.com/pt/glossary/cda)) para o acesso dos funcionários a bancos de dados
  de clientes sensíveis.

- Fortalecer o treinamento interno em cibersegurança para ajudar os funcionários a
  reconhecer tentativas de phishing e ameaças internas.

- Estabelecer sistemas de monitoramento contínuo e detecção de anomalias para identificar
  rapidamente o acesso não autorizado ao banco de dados ou atividades suspeitas.

### 3.10 Violação de Dados da TalkTalk (2015)

![talktalk-logo.png](https://s3.eu-central-1.amazonaws.com/corbado-cloud-staging-website-assets/talktalk_logo_6d6af7d26a.png)

| Detalhes                      | Informação                                     |
| ----------------------------- | ---------------------------------------------- |
| Data                          | Outubro de 2015 (divulgada em outubro de 2015) |
| Número de Clientes Impactados | Aproximadamente 157.000 indivíduos             |
| Dados Violados                | - Nomes                                        |
|                               | - Endereços de e-mail                          |
|                               | - Endereços residenciais                       |
|                               | - Números de telefone                          |
|                               | - Datas de nascimento                          |
|                               | - Números de contas bancárias                  |
|                               | - Códigos de classificação                     |

Em outubro de 2015, a provedora britânica de banda larga TalkTalk sofreu uma das maiores
violações de dados na história recente do país, comprometendo detalhes financeiros e
pessoais sensíveis de cerca de 157.000 clientes. O ataque cibernético foi executado por
meio de uma vulnerabilidade de injeção de SQL, permitindo que os invasores obtivessem
acesso não autorizado ao banco de dados de clientes da TalkTalk. Os dados comprometidos
incluíam nomes, endereços residenciais, endereços de e-mail, números de telefone, datas de
nascimento, números de contas bancárias e códigos de classificação (sort codes), colocando
os clientes afetados em sério risco de roubo de identidade e de fraude financeira.

A TalkTalk enfrentou críticas significativas por suas fracas práticas de cibersegurança,
particularmente devido a proteções inadequadas do banco de dados e medidas de segurança
desatualizadas. Adicionalmente, a empresa foi escrutinada pela sua confusão inicial em
torno da escala e dos detalhes da violação, o que contribuiu para a ansiedade e a
frustração dos clientes. A violação danificou severamente a reputação da TalkTalk e a
confiança do consumidor, e o Information Commissioner’s Office (ICO) do Reino Unido impôs
uma multa recorde de £ 400.000, citando o fracasso da empresa na implementação das
proteções fundamentais de segurança dos dados. O incidente tornou-se uma grande lição
sobre segurança cibernética para os negócios no Reino Unido, salientando a importância de
fortes medidas proativas na [proteção de dados](https://www.corbado.com/pt/blog/manuseio-seguro-documentos).

**Métodos de prevenção:**

- Realizar testes de segurança regulares, incluindo testes de penetração e avaliações de
  vulnerabilidades, visando particularmente bancos de dados e aplicações da web.

- Empregar medidas robustas de segurança de banco de dados, como a validação de entrada de
  dados e a parametrização de consultas, para proteção contra os ataques de injeção de
  SQL.

- Melhorar as capacidades de monitoramento e resposta em tempo real para detectar
  rapidamente e mitigar os acessos não autorizados aos bancos de dados.

## 4. Padrões Comuns em Violações de Dados no Reino Unido

Ao observarmos as maiores violações de dados que ocorreram no Reino Unido até 2025,
notamos algumas observações que se repetem nessas violações:

### 4.1 Atraso na Detecção e Notificação

Uma tendência comum observada em vários incidentes foram os atrasos significativos na
detecção e divulgação pública das violações. Por exemplo, a violação da JD Wetherspoon
ocorreu em junho de 2015, mas não foi divulgada publicamente até dezembro de 2015,
deixando os clientes inconscientes de seus dados comprometidos durante meses. De forma
semelhante, a Equifax enfrentou duras críticas devido a um longo período entre a violação
inicial, em julho de 2017, e a sua divulgação em setembro de 2017, permitindo que os
invasores tivessem bastante tempo para explorar dados confidenciais. A violação da Virgin
Media perdurou quase dez meses antes de ser detectada, ampliando de maneira considerável a
vulnerabilidade dos clientes. Esses longos períodos de exposição não revelada podem
resultar em grandes danos, à medida que os invasores continuam explorando as informações
roubadas sem que os clientes afetados tomem as medidas protetivas necessárias.

### 4.2 Exploração de Sistemas Desatualizados ou Mal Configurados

Muitas violações no Reino Unido destacaram vulnerabilidades oriundas da má gestão de
sistemas legados, do software desatualizado ou de bancos de dados mal configurados. A
violação da Equifax envolveu a exploração de uma vulnerabilidade não corrigida do Apache
Struts, um problema conhecido que permaneceu sem solução devido à insuficiência de
práticas de gerenciamento de patches. A Virgin Media deixou um banco de dados de marketing
publicamente acessível on-line, sem senhas ou proteções de segurança, durante quase um
ano, demonstrando enormes falhas nos processos de configuração de segurança. Da mesma
forma, a TalkTalk sofreu devido a uma simples vulnerabilidade de injeção de SQL, uma
exploração facilmente evitável com a adoção de práticas adequadas de programação e medidas
de segurança. Esses casos demonstram como as normas de higiene cibernética mais básicas,
tais como as atualizações atempadas, a configuração segura, as avaliações de
vulnerabilidades e a estrita gestão de correções, são frequentemente negligenciadas,
deixando os sistemas expostos de modo desnecessário.

### 4.3 Informações Financeiras como Alvo Principal

Um tema constante entre as violações no Reino Unido é o foco primário dos atacantes em
dados financeiros, indicando o alto valor monetário que os cibercriminosos atribuem às
informações financeiras. As violações da British Airways e da EasyJet envolveram
especificamente o roubo de dados de cartões de pagamento, incluindo os números CVV,
colocando os clientes sob risco imediato de fraude financeira. De maneira similar, a
violação da Dixons Carphone resultou no comprometimento de quase 5,9 milhões de registros
de cartões de pagamento. O incidente da Wonga expôs os dados das contas bancárias e dados
parciais de cartões de pagamento, demonstrando novamente o objetivo claro dos atacantes:
obter dados confidenciais visando o ganho financeiro, o roubo de identidade ou a revenda
de informações no mercado negro. Essa tendência revela a importância crucial de
implementar as proteções estritas, tais como a criptografia, a tokenização, e sistemas
seguros de transações, em torno de todo o conjunto de dados financeiros.

### 4.4 Controles Internos de Segurança Fracos e Vulnerabilidades dos Funcionários

Várias violações evidenciaram que os controles internos de segurança são insuficientes e o
treinamento de cibersegurança para funcionários é inadequado. Por exemplo, a violação da
Three Mobile aconteceu após o uso de credenciais de funcionários comprometidas pelos
cibercriminosos, o que demonstrou a existência de vulnerabilidades no gerenciamento
interno de credenciais e chamou a atenção para o risco provocado por ameaças internas e
ataques de phishing voltados à obtenção de credenciais. O incidente do NHS, resultante de
um laptop não criptografado que havia sido perdido, mostra mais adiante as políticas
internas muito fracas quanto à manipulação de dados, no tocante à criptografia dos
dispositivos e à conscientização das equipes de colaboradores no que se refere à segurança
cibernética. Tais incidentes expõem que muitas vezes as organizações subestimam o valor
das medidas protetivas internas, como, por exemplo, os robustos métodos de autenticação
(como a autenticação de múltiplos fatores), os frequentes treinamentos sobre
conscientização de segurança para todos os empregados, os regulamentos precisos para a
manipulação de dados sensíveis e ainda os rigorosos controles na forma de auditoria
interna, os quais servem à prevenção e identificação imediata destas ameaças.

## 5. Conclusão

De maneira análoga à nossa análise das maiores violações de dados nos EUA, as maiores
violações de dados na história do Reino Unido destacam um padrão inconfundível: a maioria
desses incidentes de segurança cibernética poderia ter sido evitada. Em vez de resultar de
ataques cibernéticos altamente sofisticados ou avançados, muitas violações ocorreram
devido a erros fundamentais, como sistemas desatualizados, bancos de dados mal protegidos,
detecção atrasada, treinamento insuficiente em segurança cibernética para funcionários e
controles de segurança internos inadequados. Esses erros evitáveis permitiram que
invasores explorassem vulnerabilidades básicas e obtivessem acesso extensivo a dados
confidenciais, colocando milhões de indivíduos em risco de roubo de identidade, fraude
financeira e ataques de phishing direcionados.

Para organizações do Reino Unido em todos os setores e de todos os portes, a lição é
clara: práticas básicas de segurança cibernética e medidas proativas nunca devem ser
negligenciadas. A proteção de dados sensíveis exige manutenção rigorosa do sistema,
padrões robustos de criptografia, aplicação rápida de correções em vulnerabilidades,
manuseio seguro de informações financeiras e protocolos de segurança internos abrangentes.
À medida que as empresas continuam a adotar a transformação digital e lidam com
quantidades cada vez maiores de dados sensíveis de clientes, a responsabilidade de
implementar e manter padrões rigorosos de segurança cibernética se torna mais crucial do
que nunca.

## Perguntas Frequentes

### Como ocorreu a violação de dados do NHS em 2011 e quantos pacientes foram afetados?

A violação do NHS em 2011 ocorreu quando um laptop não criptografado contendo registros de
aproximadamente 8,6 milhões de indivíduos foi perdido em uma instalação do NHS. O
dispositivo pertencia a um contratado do NHS e continha nomes, datas de nascimento,
números do NHS e históricos médicos detalhados, protegidos apenas por uma senha simples e
sem criptografia de disco.

### Qual foi o valor da multa aplicada à British Airways pelo ICO devido ao ataque Magecart em 2018?

O ICO pretendia inicialmente multar a British Airways em £ 183 milhões por violações do
RGPD após o ataque Magecart comprometer os dados de cartão de pagamento de aproximadamente
500.000 clientes, incluindo os números CVV. Depois que a British Airways cooperou com a
investigação e demonstrou melhorias de segurança, a multa foi reduzida para £ 20 milhões.

### Quais vulnerabilidades de segurança causaram mais comumente grandes violações de dados no Reino Unido?

As causas mais comuns nas principais violações no Reino Unido são softwares não
corrigidos, bancos de dados mal configurados e credenciais de funcionários comprometidas.
A Equifax foi violada por meio de uma falha não corrigida no Apache Struts, a TalkTalk por
meio de injeção de SQL explorando uma vulnerabilidade conhecida e a Three Mobile por meio
de credenciais de login de funcionários roubadas usadas para acessar bancos de dados de
atualização de clientes.

### Por que a violação de dados da TalkTalk em 2015 resultou em uma multa recorde do ICO?

O ICO multou a TalkTalk em £ 400.000 após um ataque de injeção de SQL em 2015 expor dados
pessoais e financeiros de aproximadamente 157.000 clientes, incluindo números de contas
bancárias e códigos de classificação. A multa recorde na época citou a falha da TalkTalk
em implementar proteções fundamentais, como validação de entrada e parametrização de
consulta contra um método de ataque bem conhecido.