Os dados estão seguros? As fugas mais mediáticas de 2025-2026, explicadas

O período de dois anos entre 2025 e 2026 produziu a maior exposição de credenciais da história registada. Uma única conta do portal de suporte, sem autenticação multifator (MFA), deu a um atacante acesso a registos de 60 milhões de estudantes e 10 milhões de docentes em 18 000 distritos escolares. O ciberataque mais dispendioso da história empresarial britânica paralisou a produção das fábricas durante semanas e custou cerca de 1,9–2,1 mil milhões de libras (cerca de 2,2–2,5 mil milhões de euros).

Os grandes incidentes são investigados a fundo: as causas de raiz são publicadas, as cadeias de ataque reconstituídas e as conclusões das entidades reguladoras divulgadas. Por isso, oferecem a visão mais clara de como os atacantes atuam na realidade.

Este artigo analisa o que distinguiu 2025–2026: as cinco mudanças estruturais no comportamento dos atacantes, as violações de dados concretas que marcaram o período e um modelo de seis passos para eliminar as lacunas de credenciais que tornaram possível a maioria delas.

Pontos principais

• A reutilização de credenciais é um risco estrutural, não um problema de comportamento dos utilizadores. Com 16 mil milhões de credenciais num único corpus pesquisável, qualquer palavra-passe reutilizada é, na prática, pública. Credenciais únicas por serviço, impostas ao nível do cofre, são a única solução fiável.
• O acesso de terceiros é a superfície de acesso da organização. 48 % das violações de dados de 2026 tiveram origem num fornecedor ou numa integração SaaS. A postura de segurança de uma organização é tão sólida quanto a concessão OAuth mais frágil que tenha sido esquecida.
• As contas privilegiadas fora da governação são as contas de maior risco que uma organização possui. A SSA e a PowerSchool falharam no mesmo ponto: contas com acesso irrestrito que existiam fora dos controlos normais de gestão de identidades e acessos (IAM).
• O software de planeamento de recursos empresariais (ERP) sem correções é hoje um vetor de ataque confirmado e quantificado em termos financeiros. A CVE-2025-31324 custou à JLR cerca de 1,9–2,1 mil milhões de libras. Os prazos para aplicar correções a software empresarial exposto à internet medem-se em horas, não em semanas.
• Os dados que não são eliminados são dados pelos quais a organização continua a responder. A University of Hawaiʻi era responsável por registos de 1993. A minimização de dados é um controlo de segurança, não uma mera formalidade de conformidade.
• A engenharia social contorna por completo os controlos técnicos. A M&S perdeu 300 milhões de libras, não por causa de uma vulnerabilidade zero-day, mas por um telefonema para um agente de helpdesk. Nenhuma firewall impede isso.

A mudança nas ciberameaças: tendências de 2025-2026 

O período de 2025–2026 marcou uma mudança estrutural na forma de atuar dos atacantes: deixaram de cifrar sistemas para passarem a roubar dados e a ameaçar publicá-los. 

Cinco tendências definiram o período.

1. A extorsão por roubo de dados substituiu o ransomware como modelo dominante. Grupos cibercriminosos como o ShinyHunters industrializaram esta abordagem: exfiltrar os dados, fixar um prazo e publicá-los se o resgate não for pago. Os atacantes já não precisam de gerir chaves de decifragem nem de negociar a recuperação: bastam a exfiltração e um site de divulgação de dados.

2. Os ataques à cadeia de abastecimento através de terceiros tornaram-se o principal vetor de entrada. O relatório Verizon 2025 DBIR identificou o envolvimento de terceiros em 30 % dos incidentes confirmados. Em 2026, essa proporção chegou aos 48 %, o que significa que quase metade de todas as violações de dados tem origem num fornecedor, num prestador de serviços SaaS ou numa integração OAuth, e não num ataque direto à própria organização (Verizon 2026 DBIR).

3. A educação e a saúde tornaram-se alvos de elevado valor. Os sistemas de informação de estudantes e os registos de pacientes contêm hoje números de Segurança Social (SSN), historiais clínicos e dados de seguros, e ambos os setores continuam atrasados em controlos básicos como a MFA e a monitorização de acessos privilegiados. 

4. A exploração de vulnerabilidades ultrapassou o roubo de credenciais como principal vetor de acesso inicial, com 31 % contra 13 % em 2026, a primeira vez na história do DBIR. A IA reduziu o intervalo entre a divulgação e a exploração ativa de meses para horas. As credenciais comprometidas continuam a surgir em 39 % de todas as violações de dados quando se considera a cadeia de ataque completa.

5. O acesso privilegiado tornou-se, por si só, uma superfície de ataque. Uma única conta com acesso irrestrito e sem monitorização pode expor mais dados do que uma intrusão externa sofisticada, sem necessidade de escalada de privilégios.

As violações de dados abaixo mostram como cada um destes padrões se manifestou na prática.

A megafuga de 16 mil milhões de credenciais (junho de 2025)

A megafuga de credenciais de junho de 2025 é a maior exposição de palavras-passe da história registada: 16 mil milhões de credenciais de início de sessão distribuídas por 30 bases de dados distintas, descobertas por investigadores da Cybernews. Os dados eram uma agregação de logs de malware infostealer e de compilações de violações anteriores, reunidos num corpus pesquisável disponível em mercados da darknet por 10 dólares.

Os infostealers recolhem credenciais guardadas nos navegadores e cookies de sessão depois de o utilizador já se ter autenticado. A reutilização de credenciais transforma uma única infeção num problema para toda a empresa: segundo a análise da Heimdal Security dos dados do Verizon DBIR 2025, 94 % das palavras-passe aparecem em várias contas. Um colaborador cujas credenciais de uma conta pessoal tenham sido recolhidas pode estar a usar a mesma palavra-passe numa VPN empresarial ou numa consola de cloud.

Um cofre de palavras-passe centralizado que gera credenciais únicas por serviço, combinado com MFA resistente a phishing, elimina a reutilização de credenciais como superfície de ataque.

O cofre autoalojado do Passwork gera e armazena credenciais únicas para cada serviço, o que torna a reutilização de credenciais estruturalmente impossível. Os registos de auditoria mostram exatamente quem acedeu a quê e quando. Ver como funciona: https://passwork.pro/

Cadeia de abastecimento SaaS sob ataque: Klue, Salesforce Experience Cloud e Volvo/Miljödata

O risco de SaaS de terceiros atua em simultâneo a três níveis distintos: roubo de credenciais, configuração incorreta e concentração de fornecedores. 

A violação de dados da Klue (junho de 2026)

A violação de dados da Klue ilustra o vetor de roubo de credenciais. Uma credencial de conta de serviço legada, do tipo que é criada durante um projeto de integração e nunca é objeto de rotação, foi utilizada para recolher tokens OAuth em dezenas de plataformas ligadas. Entre as empresas afetadas contavam-se a HackerOne, a Recorded Future, a Jamf e a Tanium. Os seus dados de CRM no Salesforce, no HubSpot e no Gong ficaram expostos, não porque essas plataformas tivessem sido violadas, mas porque uma única credencial obsoleta num serviço ligado deu a um atacante o token OAuth necessário para ler dados em todas elas. O abuso de tokens OAuth a esta escala é uma consequência direta de integrações de terceiros sem governação: shadow IT que as equipas de segurança, muitas vezes, só conseguem ver depois de o incidente ocorrer.

A configuração incorreta do Salesforce Experience Cloud (2025–2026) 

O ShinyHunters explorou uma configuração incorreta do Salesforce Experience Cloud para expor dados de organizações de telecomunicações, finanças e administração pública. Os administradores tinham concedido aos utilizadores convidados permissões de leitura mais amplas do que o pretendido. As plataformas não foram violadas: estavam mal configuradas. O ShinyHunters afirmou ter roubado dados de cerca de 100 empresas de grande visibilidade, mas a Salesforce não confirmou esse número. 

O ataque de ransomware à Miljödata (agosto de 2025)

O grupo DataCarry atacou a Miljödata, fornecedora sueca de software de recursos humanos que presta serviços ao Volvo Group, a cerca de 25 outras empresas privadas, a 200 municípios suecos e a várias instituições de ensino. A violação de dados de um único fornecedor originou centenas de vítimas. De acordo com o Have I Been Pwned, foram expostas 870 000 contas, incluindo números de identificação emitidos pelo Estado. A Volvo Group North America começou a notificar os colaboradores em 29 de setembro de 2025 e confirmou que nomes e números de Segurança Social tinham sido expostos: dados que tinham origem nos processos de recursos humanos da Volvo, mas estavam guardados num sistema de terceiros que a Volvo não controlava.

Em conjunto, estes três casos mostram que a gestão do risco de terceiros não se pode reduzir a um questionário a fornecedores. Exige monitorização contínua das concessões OAuth, auditorias das permissões SaaS e uma avaliação honesta de quantos processos críticos dependem de um único fornecedor externo.

O setor da saúde sob ataque: NYC Health + Hospitals, Conduent e Navia

A saúde é o setor em que uma violação de dados sai mais cara. De acordo com o relatório IBM 2025 Cost of a Data Breach Report, o custo médio de uma violação de dados na saúde atingiu 7,42 milhões de dólares, quase o dobro da média global de 4,44 milhões de dólares. O período de 2025-2026 produziu três incidentes que mostram porquê.

A violação de dados da NYC Health + Hospitals (2025)

Os registos de 1,8 milhões de pacientes foram expostos através de um comprometimento de fornecedor externo. A violação de dados da NYC Health + Hospitals incluiu templates biométricos, como impressões digitais e palmares. Ao contrário das palavras-passe, os identificadores biométricos não podem ser alterados. Um colaborador cuja palavra-passe seja roubada pode repô-la. Um colaborador cujo template de impressão digital seja roubado não tem uma opção de recuperação equivalente. A natureza permanente da exposição biométrica torna os controlos de IAM em torno do armazenamento de dados biométricos categoricamente mais críticos do que os aplicados ao armazenamento de palavras-passe.

A violação de dados da Navia (2025)

A administradora de benefícios de saúde Navia expôs 2,7 milhões de registos através de um endpoint de API público e sem autenticação, acessível a partir da internet aberta: uma configuração incorreta que reproduz o padrão de exposição de bases de dados descrito acima, aplicada à camada de aplicação.

A violação de dados da Conduent Business Services (2025)

Os atacantes do grupo SafePay estiveram na rede da Conduent durante 84 dias antes de serem detetados. A Conduent processa pagamentos, documentos e registos médicos para seguradoras e organismos públicos em toda a América do Norte. 

Quando a dimensão total foi confirmada, em junho de 2026, a violação de dados já tinha afetado 62,2 milhões de pessoas, o que fez dela a terceira maior violação de dados no setor da saúde da história registada. Entre as vítimas confirmadas contam-se a Premera Blue Cross, a Humana e várias filiais da Blue Cross Blue Shield. Os atacantes nunca atingiram diretamente as seguradoras. Passaram pelo fornecedor.

A combinação de dados de elevado valor, infraestruturas legadas e ecossistemas complexos de fornecedores faz da saúde o setor mais sistematicamente atingido tanto por ataques baseados em credenciais como por ataques de extorsão.

Quando o privilégio se torna uma arma: SSA e PowerSchool

O incidente DOGE/SSA ilustra que a ameaça mais perigosa para as credenciais nem sempre é externa. Uma única conta privilegiada com acesso sem controlo pode expor mais dados do que qualquer violação externa.

A exportação de dados da Social Security Administration (2025) 

O caso da SSA é o argumento mais claro para explicar por que razão a gestão de acessos privilegiados (PAM) e o princípio do menor privilégio são relevantes mesmo dentro das organizações. Os operadores do DOGE com acesso privilegiado aos sistemas da SSA alegadamente exportaram uma cópia integral e em tempo real da base de dados de registos de SSN (mais de 300 milhões de americanos) para um servidor externo sem proteção. Nenhum atacante externo esteve envolvido. 

A violação de dados da PowerSchool (2025) 

Uma única conta do portal de suporte, sem MFA, sem monitorização de sessões e sem deteção de anomalias, expôs registos de 60 milhões de estudantes e 10 milhões de docentes nos EUA, no Canadá e no Reino Unido. 83 % dos estudantes afetados tiveram os números de Segurança Social expostos, juntamente com registos médicos. A conta de suporte já tinha acesso irrestrito: não foi necessária escalada de privilégios nem movimentação lateral.

Ambos os incidentes apontam para a mesma lacuna na arquitetura de IAM: contas privilegiadas que existem fora do processo normal de governação de credenciais. Os portais de suporte, as contas de fornecedores e as backdoors administrativas ficam frequentemente excluídos das políticas de rotação de palavras-passe, da imposição de MFA e do registo de auditoria, precisamente os controlos que teriam evitado ambas as violações.

Europa sob ataque: Marks & Spencer, Jaguar e o custo da engenharia social

Três incidentes europeus de 2025–2026 originaram as perdas financeiras mais bem documentadas do período.

A violação de dados da Marks & Spencer (2025) 

A violação expôs dados pessoais de toda a base de clientes da M&S: nomes, moradas, números de telefone, datas de nascimento e histórico de encomendas. A M&S não divulgou o número exato de clientes afetados. O Scattered Spider, um grupo cibercriminoso conhecido por roubar dados sensíveis a empresas da Fortune 500, obteve o acesso inicial através de um prestador externo de serviços geridos de TI, ao fazer-se passar por um colaborador junto de um agente de helpdesk por meio de SIM swapping. A partir daí, deslocou-se pelo Active Directory. As vendas online estiveram suspensas durante 46 dias. A M&S confirmou, nos resultados anuais, um impacto nos lucros de 300 milhões de libras (cerca de 353 milhões de euros).

A violação de dados da Jaguar Land Rover (2025) 

Trata-se da violação de segurança mais dispendiosa da história empresarial britânica, estimada em 1,9–2,1 mil milhões de libras (cerca de 2,4 mil milhões de euros) pelo Cyber Monitoring Centre. Uma vulnerabilidade do SAP NetWeaver sem correção (CVE-2025-31324, corrigida em abril de 2025) paralisou a produção em fábricas a nível mundial. As entregas por grosso diminuíram 24,2 % em termos homólogos no segundo trimestre fiscal da JLR e 43 % no terceiro. O PMI da indústria transformadora do Bank of England para setembro de 2025 desceu para 46,2, e a paralisação da JLR foi apontada como um dos fatores que contribuíram para essa queda.

A violação de dados da France Titres / ANTS (2026) 

Os atacantes exfiltraram 11,7 milhões de contas do portal nacional de passaportes e documentos de identificação de França. Os portais governamentais de identidade contêm dados de identidade verificados e juridicamente vinculativos, o que os torna alvos de elevado valor precisamente porque esses dados não podem ser contestados nem substituídos.

Os casos da M&S e da JLR confirmam dois vetores de ataque que já estão quantificados em termos financeiros: a engenharia social contra prestadores de serviços externos e a exploração de software ERP empresarial sem correções.

O problema dos shadow data: University of Hawaiʻi e o risco dos arquivos legados

A violação de dados da University of Hawaiʻi (2025) expôs registos de 1993 a 2007: dados que nunca tinham sido eliminados, cifrados nem auditados, o que demonstra que a minimização de dados é um controlo de segurança direto.

Um ataque de ransomware expôs 1,2 milhões de registos, incluindo arquivos de investigação criados antes de existirem as normas de cifragem modernas. Os dados de 1993 a 2007 nunca ficaram sujeitos aos controlos de acesso atuais e, ainda assim, permaneciam em infraestrutura ativa: consultáveis, exfiltráveis e, do ponto de vista legal, da responsabilidade da universidade.

Shadow IT e os shadow data (dados fora de qualquer inventário) são duas faces da mesma falha de governação. O shadow IT é a aplicação não autorizada que corre na rede da organização. Os shadow data são o conjunto de dados que foi criado para um projeto em 2001, nunca foi eliminado e nunca foi incluído em nenhum inventário de dados. Ambos são invisíveis para os controlos de segurança porque nunca chegaram a ser registados.

O controlo é a minimização de dados: reter apenas o que é operacionalmente necessário e auditar os conjuntos de dados legados segundo um calendário definido. As organizações que não conseguem responder a «que dados temos, onde estão e quem lhes pode aceder?» não os conseguem defender.

Como proteger a empresa da próxima megafuga de dados

O modelo Enterprise Credential Defense Framework associa cada controlo diretamente a um padrão de violação descrito neste artigo.

Passo 1. Implementar um cofre de palavras-passe empresarial centralizado.

Elimina a reutilização de credenciais e proporciona um único registo de auditoria para todos os acessos a credenciais. Um cofre de palavras-passe centralizado com controlo de acesso baseado em funções significa que, quando uma credencial é comprometida, o raio de impacto fica limitado ao que essa credencial estava autorizada a aceder, e não a tudo o que o colaborador por acaso conhecia.

Passo 2. Impor palavras-passe com um mínimo de 15 caracteres e MFA resistente a phishing.

As políticas de palavras-passe legadas (rotação obrigatória de 90 dias, regras de complexidade que exigem símbolos e maiúsculas e minúsculas) são contraproducentes. NIST SP 800-63B Rev. 4 elimina ambos os requisitos. O raciocínio é empírico: a rotação forçada produz alterações incrementais previsíveis (Password1! → Password2!) e as regras de complexidade geram palavras-passe difíceis de memorizar para as pessoas, mas fáceis de quebrar por ferramentas automatizadas.

Quanto à MFA em particular: o OTP por SMS não é recomendado no nível AAL2. As chaves de hardware e as passkeys cumprem o limiar de resistência a phishing. O relatório Verizon 2025 DBIR refere que as técnicas de contorno da MFA estão a aumentar (o roubo de tokens representa 31 % dos métodos de contorno e a fadiga de MFA 22 %), mas ter a MFA ativada continua a eliminar a grande maioria dos ataques baseados em credenciais.

Passo 3. Auditar e revogar integrações SaaS de terceiros e concessões OAuth sem governação.

Realize uma auditoria trimestral de todas as concessões OAuth no fornecedor de identidade. Revogue qualquer concessão que não possa ser atribuída a uma integração ativa e documentada. As contas de serviço legadas devem ser objeto de rotação segundo um calendário definido e desativadas quando a integração for encerrada.

Passo 4. Aplicar controlos de PAM e o princípio do menor privilégio.

Nenhuma conta, interna ou externa, deve ter acesso além do que a sua função documentada exige. As contas privilegiadas devem ter duração limitada, sessões gravadas e estar sujeitas aos mesmos requisitos de MFA que qualquer outra conta.

Passo 5. Impor a minimização de dados e auditar conjuntos de dados legados.

Estabeleça um calendário de retenção de dados. Realize uma auditoria anual dos conjuntos de dados com mais de cinco anos. Os dados sem finalidade operacional atual devem ser eliminados, e não arquivados num servidor em produção.

Passo 6. Eliminar a expiração arbitrária de palavras-passe e adotar a rotação orientada pelo comprometimento.

Rode as credenciais quando for detetado ou suspeito um comprometimento, e não segundo um calendário. Integre o cofre de palavras-passe com fontes de informação sobre violações de dados, para que a rotação seja desencadeada por provas e não por um relógio de 90 dias que habitua os utilizadores a fazer alterações previsíveis.

Conclusão

Três causas de raiz repetem-se, violação após violação, ao longo deste artigo: credenciais não geridas ou reutilizadas, acessos sem controlo ou com permissões excessivas e dados retidos muito para além de qualquer finalidade operacional. Todos os incidentes aqui abordados, desde a fuga de 16 mil milhões de credenciais até à paralisação de 1,9 mil milhões de libras da JLR, correspondem a pelo menos uma dessas três falhas.

Cada controlo do Enterprise Credential Defense Framework corresponde a uma falha documentada numa violação de dados nomeada acima. A questão para a organização: quais dessas falhas estão a ser replicadas neste momento?

Comece por uma auditoria de credenciais: todas as contas privilegiadas, todas as concessões OAuth, todas as contas de serviço do ambiente. Se não for possível responder a estas perguntas em menos de uma hora, existe um problema de visibilidade antes de existir um problema de segurança.

O Passwork é um gestor de palavras-passe e segredos autoalojado, concebido precisamente para essa auditoria: cofres centralizados, acesso baseado em funções e cifragem zero-knowledge, para que se saiba sempre quem tem acesso a quê. Conhecer as opções de implementação: passwork.pro

Perguntas frequentes

Passwork vs 1Password: O melhor gestor de palavras-passe para a UE

RGPD, NIS2, ANSSI 2027: a pressão regulamentar não para de aumentar. O Passwork e o 1Password são comparados segundo os critérios que mais importam às empresas europeias: soberania dos dados, preparação para auditorias, modelo de implementação e custo total de propriedade real.

Passwork BlogPasswork Team

Gestão de palavras-passe em equipa: O guia completo para 2026

Como as equipas partilham credenciais em segurança em 2026: RBAC, registos de auditoria, listas de verificação para a saída de colaboradores, requisitos da NIST SP 800-63B Rev. 4 e implementação autoalojada vs. cloud.

PassworkAlex Muntyan

11 riscos da reutilização de palavras-passe e como evitá-los

Reutilizar uma palavra-passe parece inofensivo, mas não é. Eis por que razão uma única credencial divulgada pode comprometer a segurança de toda a organização e como evitar que isso aconteça.

Passwork BlogAlex Muntyan