The scoreboard of our verdicts

A Veradigm confirmou à SEC, em 8 de setembro de 2026, que um terceiro teve credenciais roubadas de sua API, expondo dados pessoais de pacientes, incluindo CPFs equivalentes (SSNs). O grupo The Gentlemen reivindica 3,5 milhões de registros — número não confirmado e provavelmente inflado, dado que a própria empresa circunscreve o impacto a 'um número reduzido de clientes'. É o segundo incidente confirmado de credencial roubada via terceiro em menos de dois anos.

A autoridade turca de proteção de dados (KVKK) concluiu investigação e confirmou que 505.337 clientes da rede de kebab Baydöner tiveram dados exfiltrados por credencial de funcionário comprometida via malware — o dobro abaixo do alegado por atores em fórum criminoso. A empresa foi multada em 1 milhão de TL por controles inadequados e por não notificar os titulares afetados.

O ShinyHunters publicou em 13 de agosto de 2026 um dump de 50 GB atribuído à Carhartt após negociações fracassadas de US$ 3,3 milhões. A análise independente de Troy Hunt (HIBP) reduziu o volume alegado de ~24,8 milhões para 12.933.413 registros genuínos — o excedente é dado sintético TPC-DS injetado no warehouse Databricks da empresa. A Carhartt não confirmou o incidente até o momento do fechamento deste relatório.

A Microolap confirmou que sistemas periféricos foram comprometidos, mas rejeitou a versão do Black Spark de que o EtherSensor e dados de clientes como Ferrovias Russas, Goznak e VTB Bank foram exfiltrados. O incidente é real; a extensão alegada pelo ator não tem confirmação independente e contradiz a versão da vítima — o que tipifica o veredito como 'inflated', não 'unverified'.

A Brinks Home confirmou acesso não autorizado a parte de seus sistemas de TI após o grupo ShinyHunters reivindicar a exfiltração de 4,9 milhões de registros Salesforce via vishing no Microsoft Entra — e vazar 41 GB ao não receber pagamento. O número anunciado de 4,9 M é a soma de registros de contatos, transcrições de chat e dados de funcionários, não um headcount distinto de clientes; o Have I Been Pwned indexou 732 mil e-mails únicos no material publicado. A empresa ainda não confirmou volume, categorias de dado nem emitiu notificação formal aos afetados.

A Frontier Airlines sofreu um breach confirmado entre maio e junho de 2026, com 11.482 afetados e SSNs expostos — fato registrado em múltiplos AGs estaduais e objeto de ao menos dois processos federais. Em paralelo, vulnerabilidades críticas de API ficaram sem correção por mais de 100 dias após notificação responsável, e um grupo estreante chamado ExfilSquad alega agora ter extraído 2,4 milhões de registros — número sem verificação e oriundo de ator sem histórico, cujos listings em massa no mesmo dia levantam suspeita séria de bluff ou dados reciclados.

O incidente no iFood é real e confirmado pela própria empresa, mas a escala está em disputa: o ator alegou 43,84 milhões de registros, o iFood admitiu ~1,2 milhão, e nenhuma análise técnica independente fechou nenhum dos dois números. A distância entre as versões — e a divergência sobre quais dados vazaram — é o cerne do caso, agravada pelo fato de o iFood não ter notificado a ANPD por seis meses.