A iFood informou na quarta-feira (03/06) que identificou uma violação de dados que afetou aproximadamente 1.2 milhão de usuários, o equivalente a cerca de 2% de sua base de clientes. Segundo a empresa, o ataque cibernético ocorreu em dezembro de 2025, mas foi detectado e contido logo em seguida. A divulgação veio após um usuário do BreachForums, um fórum da dark web conhecido pela venda e troca de informações roubadas, afirmar na semana passada possuir dados pertencentes a mais de 43.84 milhões de clientes brasileiros da iFood. O suposto conjunto de dados incluía números de CPF, nomes, endereços de e-mail, números de telefone e informações relacionadas a cartões de crédito.
Este conteúdo é apenas para assinantes
Para desbloquear este conteúdo, assine Relatórios INTERLIRA.
Autoridades
A empresa argumentou que não notificou a Autoridade Nacional de Proteção de Dados (ANPD) porque, em sua avaliação, o incidente não representou risco significativo nem causou danos substanciais aos indivíduos afetados, de acordo com os critérios estabelecidos pela legislação brasileira. A ANPD, no entanto, informou à Folha de S.Paulo que já havia entrado em contato formal com a iFood e solicitado informações detalhadas sobre o incidente e suas possíveis consequências.
Dever de comunicar
A ANPD afirmou que, de acordo com o Regulamento de Comunicação de Incidentes do Brasil, os controladores de dados são obrigados a notificar tanto a autoridade quanto os indivíduos afetados em até três dias úteis sempre que um incidente de segurança puder resultar em risco ou dano significativo aos titulares dos dados. Rafael Zanatta, codiretor da organização Data Privacy Brasil, argumentou que não há dúvidas de que o incidente se enquadra nos requisitos de notificação. Segundo ele, uma violação que afeta mais de um milhão de pessoas constitui um evento de grande escala. Ele observou que a ANPD avalia não apenas o número de usuários afetados, mas também o alcance geográfico do incidente. Dada a presença nacional do iFood, Zanatta sustenta que a empresa tinha a obrigação de notificar a violação e poderia sofrer consequências regulatórias caso não o fizesse.
Dano Potencial
Segundo Zanatta, os riscos mais significativos associados ao incidente não estão relacionados a fraudes financeiras envolvendo senhas ou cartões de pagamento, já que não há indícios de que tais informações tenham sido expostas. Em vez disso, a principal preocupação envolve ataques de engenharia social, campanhas de phishing e distribuição de malware por meio de links, e-mails ou mensagens de texto fraudulentos. Ele aconselhou os usuários a terem cautela ao receber mensagens pelo WhatsApp, e-mail ou SMS, principalmente quando o remetente não puder ser verificado de forma independente. Especialistas alertam que informações pessoais vazadas podem ser usadas por cibercriminosos para criar golpes convincentes, com o objetivo de obter dados sensíveis adicionais ou acesso não autorizado a contas e dispositivos.
Análise:
Do ponto de vista da cibersegurança, o aspecto mais significativo deste caso não é necessariamente o número de usuários afetados, mas sim o debate em torno das obrigações de divulgação e da avaliação de riscos. Uma violação que envolve aproximadamente 1.2 milhão de pessoas representa um incidente de segurança em larga escala, segundo qualquer padrão razoável, especialmente quando afeta uma plataforma com alcance nacional. A divergência entre a iFood e a Autoridade Nacional de Proteção de Dados ilustra um desafio mais amplo enfrentado pelos reguladores em todo o mundo: determinar quando um incidente cria risco suficiente para exigir notificação obrigatória. A transparência tornou-se um componente central das estruturas modernas de proteção de dados, pois a comunicação oportuna permite que os usuários tomem medidas preventivas antes que agentes criminosos possam explorar informações comprometidas.
Fontes: A Folha de SP.
