Os 10 maiores vazamentos de dados nos EUA [2026]

1. Introdução: por que os vazamentos de dados são um risco para organizações nos EUA?#

Os vazamentos de dados nos Estados Unidos aumentaram nos últimos anos, tornando-se uma preocupação crítica tanto para organizações quanto para indivíduos e órgãos governamentais. O número de incidentes relatados chegou a 3.158 apenas em 2024, afetando mais de 1,35 bilhão de pessoas. Esse é um aumento alarmante em relação a 2021, considerando que apenas 1.862 vazamentos foram registrados naquele ano. Setores como serviços financeiros, saúde e serviços profissionais foram particularmente atingidos, destacando sua vulnerabilidade e atratividade para os cibercriminosos. Os vazamentos na área de saúde, em particular, provaram ser notavelmente severos e persistentes. Em 2023, um número impressionante de 725 vazamentos de dados relacionados à saúde expôs mais de 133 milhões de registros, sendo que o maior incidente, por si só, afetou 11,3 milhões de indivíduos. Em abril de 2024, apenas 54 vazamentos no setor de saúde já haviam impactado mais de 15 milhões de pacientes.

Neste blog, analisamos os dez vazamentos de dados mais significativos da história dos EUA, descobrindo como ocorreram, seus impactos e as lições que as organizações devem aprender para se proteger contra ameaças futuras.

2. Por que os EUA são um alvo atraente para vazamentos de dados?#

Tendo a maior economia do mundo, os EUA são um alvo atraente para cibercriminosos devido a alguns critérios distintos existentes:

2.1 Maior economia e volume de dados#

Os EUA são a maior economia do mundo e um centro global para setores que incluem tecnologia, finanças, saúde e varejo, cada um gerando e armazenando enormes quantidades de dados sensíveis. Tais vastos repositórios de dados representam alvos lucrativos para atacantes em busca de ganhos financeiros, propriedade intelectual valiosa ou informações pessoais para roubo de identidade e fraudes.

2.2 Presença de grandes corporações e agências governamentais#

Como potência econômica global, os EUA sediam muitas empresas da Fortune 500, corporações multinacionais e agências do governo críticas, responsáveis pela infraestrutura e segurança nacional. Essas organizações gerenciam extensos bancos de dados contendo dados sensíveis de clientes, funcionários e operacionais. A natureza crítica dessas informações aumenta tanto a probabilidade quanto a gravidade dos vazamentos, ampliando o dano potencial causado por incidentes cibernéticos.

2.3 Colcha de retalhos de regulamentações#

O cenário regulatório fragmentado entre os estados e setores dos EUA cria padrões de segurança cibernética inconsistentes, resultando em possíveis lacunas na proteção de dados e na fiscalização. Em comparação com países que possuem regulamentações de segurança cibernética rigorosas e uniformes, essa abordagem em colcha de retalhos reduz as barreiras para cibercriminosos, facilitando a identificação e a exploração de vulnerabilidades.

Coletivamente, esses fatores posicionam os EUA como um ambiente especialmente vulnerável e atraente para ameaças cibernéticas, exigindo medidas proativas de segurança cibernética.

3. Os maiores vazamentos de dados nos EUA#

A seguir, você encontra uma lista dos maiores vazamentos de dados nos EUA. Os vazamentos de dados estão classificados em ordem decrescente pelo número de contas afetadas.

3.1 Vazamento de dados do Yahoo (2013–2016)#

Em uma série de ataques cibernéticos entre 2013 e 2016, o Yahoo sofreu o que continua sendo o maior vazamento de dados na história dos EUA, comprometendo cerca de 3 bilhões de contas de usuários. As informações roubadas incluíam nomes, endereços de e-mail, números de telefone, datas de nascimento, senhas com hash (usando MD5, considerado inseguro) e perguntas e respostas de segurança não criptografadas. O vazamento foi ligado a atores patrocinados pelo estado, com suspeitas apontando para agentes russos.

O impacto foi grande: a reputação do Yahoo sofreu danos severos e sua aquisição pendente pela Verizon em 2017 sofreu um desconto de 350 milhões de dólares americanos como consequência direta. As críticas concentraram-se no atraso na divulgação pública pelo Yahoo e nas práticas de segurança desatualizadas, particularmente no uso de algoritmos fracos de hash de senhas e na falha em criptografar adequadamente dados de segurança críticos.

Métodos de prevenção:

• Usar padrões de criptografia mais fortes, como bcrypt, para senhas e informações sensíveis
• Estabelecer protocolos rápidos de notificação de violação
• Empregar autenticação multifatorial (ou seja, chaves de acesso) para mitigar o impacto do roubo de credenciais

3.2 Vazamento da National Public Data (NPD) (2024)#

Em março de 2024, a National Public Data (NPD), uma grande corretora de dados, sofreu um dos maiores vazamentos da história dos EUA, expondo informações sensíveis de aproximadamente 1,3 bilhão de indivíduos. Um banco de dados mal configurado permitiu acesso não autorizado a registros pessoais altamente detalhados, incluindo nomes completos, endereços físicos, datas de nascimento, números de seguridade social, números de telefone e endereços de e-mail. O vazamento resultou em quase 2,9 bilhões de registros de dados comprometidos no total.

Os dados expostos representavam riscos severos de roubo de identidade e fraude, levando ao colapso das operações da NPD em poucos meses. Investigações revelaram que a empresa não possuía medidas de segurança fundamentais, como controles de acesso a banco de dados adequados e avaliações regulares de vulnerabilidades. O evento reacendeu o debate público sobre a regulamentação e a supervisão de corretores de dados que lidam com volumes massivos de informações pessoais sem obrigações de segurança suficientes.

Métodos de prevenção:

• Implementar controles rigorosos de acesso e mecanismos de autenticação para bancos de dados sensíveis
• Auditar e testar sistemas regularmente em busca de vulnerabilidades e configurações incorretas
• Criptografar informações pessoais em repouso e em trânsito para minimizar o risco de exposição

3.3 Vazamento de dados da Real Estate Wealth Network (2023)#

Em setembro de 2023, a Real Estate Wealth Network (REWN), agregadora de dados imobiliários, sofreu um vazamento massivo devido a um banco de dados desprotegido, deixado exposto à internet sem autenticação. Cerca de 1,5 bilhão de registros de dados foram acessados, incluindo nomes, endereços residenciais, registros de propriedades, números de telefone e detalhes sensíveis relacionados a imóveis, envolvendo figuras públicas conhecidas e celebridades.

O vazamento atraiu atenção significativa da mídia devido à exposição das propriedades de indivíduos de alto perfil, levantando preocupações sobre segurança pessoal e ataques direcionados. Especialistas criticaram a REWN por falhar na implementação de protocolos básicos de segurança cibernética, como autenticação de banco de dados, criptografia e registro de acesso.

Métodos de prevenção:

• Exigir autenticação para todos os bancos de dados, mesmo aqueles que contêm dados de origem pública
• Realizar testes de penetração regulares e auditorias de segurança
• Monitorar ativos expostos continuamente para detectar configurações incorretas precocemente

3.4 Vazamento de dados do Facebook (2019/2021)#

Em 2019, cibercriminosos exploraram o recurso de importação de contatos do Facebook para raspar as informações pessoais de aproximadamente 533 milhões de usuários em 106 países. Embora o Facebook tenha restringido a raspagem de dados em massa no final daquele ano, o conjunto de dados compilado ressurgiu publicamente em abril de 2021, quando foi postado em um fórum de hackers para acesso gratuito.

Ao contrário de um vazamento tradicional, no qual os invasores acessam diretamente sistemas internos, esse incidente envolveu a coleta de dados automatizada em massa usando funcionalidades disponíveis da plataforma. O conjunto de dados vazado incluía nomes, números de telefone, endereços de e-mail e informações de localização, criando sérios riscos para ataques de phishing, troca de SIM (SIM-swapping) e outras formas de exploração de identidade. O Facebook enfrentou amplas críticas por subestimar as implicações dos dados raspados e por sua resposta lenta à divulgação.

Métodos de prevenção:

• Limitar a exposição de dados através de controles de acesso a recursos e APIs mais rigorosos
• Monitorar comportamento incomum de raspagem usando ferramentas automatizadas de detecção
• Notificar proativamente os usuários e reguladores quando ocorrer a raspagem de dados em larga escala

3.5 Vazamento de dados do LinkedIn (2021)#

Em junho de 2021, o LinkedIn sofreu um grande incidente de raspagem de dados, expondo informações de cerca de 700 milhões de usuários (aproximadamente 92% de sua base de usuários na época). Os invasores exploraram a API do LinkedIn para coletar sistematicamente informações de perfis públicos, incluindo nomes, e-mails, números de telefone, dados de geolocalização e históricos profissionais. O conjunto de dados raspado foi posteriormente colocado à venda em um fórum da dark web.

Embora o LinkedIn afirmasse que nenhum dado privado havia sido violado e que as informações podiam ser visualizadas publicamente, especialistas em segurança cibernética enfatizaram que o volume e a agregação de dados ainda representavam riscos significativos para phishing direcionado, engenharia social e roubo de identidade. O incidente destacou a linha tênue entre a raspagem de dados "públicos" e graves violações de privacidade quando agregados em larga escala.

Métodos de prevenção:

• Implementar limitação de taxa (rate limiting) e proteções CAPTCHA em APIs para deter a raspagem automatizada
• Melhorar os sistemas de detecção de anomalias para identificar a coleta de dados em grande escala
• Educar os usuários sobre a limitação de informações visíveis publicamente em seus perfis

3.6 Vazamento de dados da Exactis (2018)#

Em junho de 2018, a Exactis, empresa americana de marketing e agregação de dados, expôs inadvertidamente um banco de dados contendo aproximadamente 340 milhões de registros individuais e empresariais. O vazamento foi descoberto por um pesquisador de segurança que encontrou o banco de dados acessível online sem nenhuma proteção de senha. Os dados expostos incluíam nomes, endereços residenciais, números de telefone, endereços de e-mail e atributos pessoais altamente detalhados, como interesses, hábitos e informações financeiras.

Embora não houvesse confirmação de que atores mal-intencionados acessaram os dados antes de serem protegidos, a amplitude e granularidade das informações vazadas representavam altos riscos de roubo de identidade, phishing e outros ataques direcionados. O incidente chamou a atenção para as práticas amplamente desreguladas dos corretores de dados e estimulou pedidos por uma legislação mais forte sobre privacidade de dados nos Estados Unidos.

Métodos de prevenção:

• Sempre exigir autenticação para o acesso a bancos de dados
• Limitar a quantidade de informações pessoais sensíveis coletadas e armazenadas
• Realizar auditorias regulares e revisões de segurança para garantir que medidas adequadas de proteção de dados estejam em vigor

3.7 Vazamento de dados da First American Financial Corporation (2019)#

Em maio de 2019, a First American Financial Corporation, um dos maiores fornecedores de serviços de seguros de título e liquidação nos Estados Unidos, expôs aproximadamente 885 milhões de registros sensíveis por meio de uma vulnerabilidade no site. Devido a controle de acesso inadequado, qualquer pessoa com um link de URL válido para um documento podia visualizar outros documentos não relacionados simplesmente modificando dígitos na URL, sem autenticação.

Os documentos vazados incluíam informações financeiras e pessoais críticas, como números de seguridade social, detalhes de conta bancária, registros hipotecários e documentos fiscais, colocando os clientes em risco significativo de fraude e roubo de identidade. O vazamento foi particularmente alarmante dada a natureza altamente sensível dos registros de transações imobiliárias e ressaltou grandes lacunas nas práticas de segurança de aplicativos web no setor financeiro.

Métodos de prevenção:

• Implementar controles rigorosos de acesso e verificações de autenticação para repositórios de documentos
• Realizar testes de segurança rigorosos (por exemplo, testes de penetração) antes de implantar aplicativos publicamente
• Monitorar e auditar padrões de acesso de aplicativos para detectar comportamento anormal precocemente

3.8 Vazamento de dados da Ticketmaster (2024)#

Em maio de 2024, a Ticketmaster, uma das maiores empresas de venda de ingressos do mundo, sofreu um vazamento massivo de dados afetando cerca de 560 milhões de clientes globalmente, com uma proporção significativa localizada nos Estados Unidos. Os invasores relataram ter obtido acesso não autorizado por meio de um ambiente de armazenamento em nuvem de terceiros comprometido, expondo nomes de clientes, endereços residenciais e de e-mail, números de telefone e, em alguns casos, detalhes parciais do cartão de pagamento.

O vazamento reavivou preocupações sobre os riscos de fornecedores terceirizados e segurança em nuvem, especialmente para plataformas de consumo em grande escala que lidam com transações financeiras. Também levantou questões sobre o cumprimento da empresa com os padrões modernos de proteção de dados, como PCI DSS e GDPR (RGPD). A Ticketmaster enfrentou diversas ações judiciais coletivas e investigações regulatórias após o incidente.

Métodos de prevenção:

• Fortalecer o gerenciamento de riscos de fornecedores e auditar provedores terceirizados regularmente
• Criptografar todas as informações de clientes armazenadas, especialmente os dados relacionados a pagamento
• Implementar modelos de acesso zero-trust (confiança zero) para ambientes em nuvem a fim de limitar a superfície de ataque

3.9 Vazamento de dados do MySpace (2016)#

Em maio de 2016, um hacker conhecido como "Peace" listou uma grande quantidade de dados de usuários do MySpace à venda na dark web, compreendendo aproximadamente 427 milhões de contas. Embora os dados parecessem ser originários de um vazamento que ocorreu em ou antes de 2013, o caso não foi descoberto até anos depois. Os registros expostos incluíam nomes de usuários, endereços de e-mail e senhas que estavam fracamente protegidos com hash SHA-1 sem salt, tornando-os altamente vulneráveis à quebra (cracking).

Embora o MySpace já houvesse perdido popularidade na época em que o vazamento veio à tona, o incidente ainda apresentava riscos porque muitos usuários reutilizavam senhas em várias plataformas. Como resultado, as credenciais do vazamento do MySpace podiam ser usadas em ataques de preenchimento de credenciais (credential stuffing) em outros serviços. O evento evidenciou a necessidade crítica de práticas robustas de hash de senhas e detecção oportuna de violações.

Métodos de prevenção:

• Usar algoritmos de hash de senha modernos e seguros, como bcrypt ou Argon2
• Alternar regularmente práticas criptográficas e migrar de algoritmos desatualizados
• Monitorar vazamentos de credenciais e alertar os usuários para redefinirem suas senhas rapidamente após violações

3.10 Vazamento de dados do JPMorgan Chase (2014)#

Em 2014, o JPMorgan Chase divulgou um dos vazamentos mais significativos a atingir o setor financeiro dos EUA, afetando aproximadamente 76 milhões de famílias e 7 milhões de pequenas empresas. Os invasores obtiveram acesso através de uma conta de funcionário comprometida, explorando vulnerabilidades na infraestrutura de rede do banco. Embora nenhuma informação financeira, como números de conta, senhas ou números de seguridade social tenha sido roubada, os invasores conseguiram obter nomes, endereços, endereços de e-mail e números de telefone.

O vazamento atraiu grande atenção devido ao papel crítico do banco na economia dos EUA e levantou alarmes em todo o setor de serviços financeiros a respeito da prontidão para segurança cibernética. Isso levou a um aumento no escrutínio regulatório e fez com que muitas instituições financeiras reavaliassem suas estruturas de segurança cibernética, especialmente em relação a proteções de contas de funcionários e segmentação de rede.

Métodos de prevenção:

• Impor autenticação multifatorial (MFA) para todas as contas internas e externas
• Implementar segmentação de rede robusta para limitar movimentos laterais em caso de comprometimento
• Testar e atualizar regularmente os protocolos de segurança para gerenciamento de acesso de funcionários

4. Tendências em vazamentos de dados nos EUA#

Ao analisar os maiores vazamentos de dados que aconteceram nos EUA até 2025, notamos algumas observações que reocorrem ao longo desses incidentes:

4.1 Configurações incorretas básicas são tão problemáticas quanto ataques cibernéticos sofisticados#

Um traço comum em muitos dos maiores vazamentos de dados é que eles não foram o resultado de ataques altamente sofisticados, mas sim de configurações incorretas básicas e vulnerabilidades ignoradas. Bancos de dados abertos sem proteção de senha, controles de acesso fracos e APIs mal protegidas repetidamente permitiram entrada fácil para os invasores. Em casos como os vazamentos da National Public Data e da Real Estate Wealth Network, simplesmente varrer a internet atrás de sistemas não protegidos foi o suficiente para ganhar acesso a bilhões de registros. Isso destaca que investir em higiene básica de segurança cibernética, como controles de acesso, criptografia apropriada e fortalecimento de sistemas, teria prevenido muitos desses incidentes.

4.2 Informações pessoais são o alvo principal#

Outra tendência notável é o direcionamento e exposição consistentes de informações pessoais sensíveis. Em praticamente todos os vazamentos, os conjuntos de dados incluíam nomes, endereços, datas de nascimento, endereços de e-mail, números de telefone e, nos casos mais prejudiciais, números de seguridade social (SSN). A amplitude dos detalhes pessoais expostos aumenta dramaticamente o risco de roubo de identidade, ataques de phishing e fraudes financeiras. Por exemplo, a implementação de fortes políticas de senhas e controles de acesso é crucial para a prevenção de fraudes em organizações sem fins lucrativos. As organizações, mesmo aquelas de fora de setores regulamentados como finanças ou saúde, precisam tratar qualquer coleta de dados pessoais com os mais altos padrões de segurança, pois seu valor para os invasores permanece consistentemente elevado.

4.3 Proteção fraca de senhas e criptografia#

Práticas insatisfatórias no gerenciamento de senhas e proteções criptográficas desatualizadas agravaram ainda mais as consequências de vários vazamentos. Em incidentes como o do Yahoo e do MySpace, as senhas estavam armazenadas usando algoritmos de hash fracos como MD5 e SHA-1 ou não possuíam "salt" suficiente, tornando-as fáceis de decifrar uma vez roubadas. Isso expandiu significativamente o impacto ao permitir que os atacantes reutilizassem as senhas em outros serviços por meio de preenchimento de credenciais (credential stuffing). Mesmo quando as senhas são roubadas, métodos de criptografia robustos e padrões criptográficos modernos podem limitar imensamente o risco futuro para usuários e empresas.

4.4 Exploração de API e raspagem de dados em massa#

Uma importante evolução nas táticas de vazamento é a crescente dependência da exploração de API e da raspagem de dados, ao invés de técnicas tradicionais de hackers. Vazamentos como os do LinkedIn e do Facebook demonstraram que os invasores cada vez mais se aproveitam de APIs mal protegidas ou recursos voltados ao público para coletar grandes volumes de dados de usuários. Embora as empresas frequentemente minimizem a raspagem apontando para a natureza pública dos dados, a agregação e a combinação das informações raspadas podem criar bancos de dados poderosos e perigosos. Essa tendência enfatiza a necessidade de as organizações aplicarem controles rigorosos de limitação de taxa (rate limiting), monitoramento e autenticação em todas as APIs e interfaces públicas, tratando-as com a mesma precisão e exigência dos sistemas de back-end.

5. Conclusão#

Os maiores vazamentos de dados na história dos EUA revelam um padrão claro e consistente: a maioria dos incidentes era evitável. Em vez de serem o resultado de ataques cibernéticos altamente avançados, muitos vazamentos decorreram de erros básicos: bancos de dados desprotegidos, padrões criptográficos desatualizados, proteções insuficientes de API e subestimação do valor das informações pessoais. Essas falhas permitiram que invasores acessassem volumes massivos de dados sensíveis com relativa facilidade, expondo indivíduos a riscos como roubo de identidade, fraudes financeiras e ataques direcionados.

Para organizações de todos os tamanhos e setores, as lições de que os fundamentos da segurança cibernética não podem ser negligenciados são claras. A proteção de dados pessoais requer não apenas fortes medidas técnicas, mas também uma abordagem proativa à configuração de sistemas, padrões criptográficos, gerenciamento de risco de fornecedores e detecção de violações. À medida que a quantidade de dados coletados cresce exponencialmente, o mesmo acontece com a responsabilidade de protegê-los.

Sobre a Corbado

Corbado é a Passkey Intelligence Platform para times de CIAM que rodam autenticação consumer em escala. Mostramos o que logs de IDP e ferramentas genéricas de analytics não enxergam: quais dispositivos, versões de SO, navegadores e gerenciadores de credenciais suportam passkeys, por que os registros não viram logins, onde o fluxo WebAuthn falha e quando uma atualização de SO ou navegador quebra silenciosamente o login — tudo sem substituir Okta, Auth0, Ping, Cognito ou seu IDP interno. Dois produtos: Corbado Observe adiciona observabilidade para passkeys e qualquer outro método de login. Corbado Connect entrega passkeys gerenciados com analytics integrado (junto ao seu IDP). VicRoads roda passkeys para mais de 5M de usuários com Corbado (+80% de ativação de passkey). Fale com um especialista em Passkeys →

Perguntas frequentes#

Por que as práticas de segurança do Yahoo foram consideradas inadequadas durante o vazamento de dados de 2013-2016?#

O Yahoo armazenava senhas usando MD5, um algoritmo criptograficamente fraco, e mantinha perguntas e respostas de segurança totalmente sem criptografia. O vazamento foi associado a agentes patrocinados pelo estado que se acredita serem agentes russos. O Yahoo enfrentou severas críticas pelo atraso na divulgação pública, revelando toda a extensão apenas em 2016, apesar de os vazamentos terem ocorrido anos antes.

Como o vazamento da National Public Data expôs bilhões de registros sem um ataque cibernético sofisticado?#

Um banco de dados mal configurado na National Public Data permitiu acesso não autorizado sem qualquer autenticação em março de 2024. A empresa não possuía medidas de segurança fundamentais, incluindo controles de acesso a banco de dados adequados e avaliações regulares de vulnerabilidades. O vazamento resultou em quase 2,9 bilhões de registros de dados comprometidos e levou diretamente ao colapso operacional da NPD em questão de meses.

Por que a raspagem de API é considerada um grave risco de vazamento de dados, mesmo quando os dados raspados são tecnicamente públicos?#

Atacantes exploram APIs mal protegidas para coletar dados em grande escala, como demonstrado pelo vazamento do LinkedIn (700 milhões de usuários, aproximadamente 92% de sua base de usuários) e do Facebook (533 milhões de usuários). Agregar pontos de dados individualmente públicos cria perfis pessoais detalhados, permitindo phishing, troca de SIM (SIM-swapping) e roubo de identidade em grande escala.

Quais falhas de hash de senha pioraram o impacto posterior dos vazamentos do Yahoo e do MySpace?#

O Yahoo usou hash MD5 e o MySpace usou SHA-1 sem salt, ambos padrões criptograficamente fracos. Esses métodos tornaram as credenciais roubadas facilmente decifráveis, permitindo que os atacantes realizassem ataques de preenchimento de credenciais (credential stuffing) em outras plataformas onde os usuários reutilizavam senhas. Algoritmos modernos como bcrypt ou Argon2 reduziriam significativamente esse risco posterior.

Como a fragmentada paisagem regulatória dos EUA aumenta a vulnerabilidade das organizações a vazamentos de dados?#

A colcha de retalhos de regulamentações estaduais e industriais dos EUA cria padrões de segurança cibernética inconsistentes, deixando lacunas na proteção de dados e na fiscalização. Comparada a países com regulamentações rigorosas e uniformes, essa abordagem reduz as barreiras para cibercriminosos identificarem e explorarem vulnerabilidades. Corretores de dados como NPD e Exactis operavam com obrigações de segurança mínimas, apesar de deterem bilhões de registros pessoais sensíveis.