setembro de 2026

A Veradigm confirmou à SEC, em 8 de setembro de 2026, que um terceiro teve credenciais roubadas de sua API, expondo dados pessoais de pacientes, incluindo CPFs equivalentes (SSNs). O grupo The Gentlemen reivindica 3,5 milhões de registros — número não confirmado e provavelmente inflado, dado que a própria empresa circunscreve o impacto a 'um número reduzido de clientes'. É o segundo incidente confirmado de credencial roubada via terceiro em menos de dois anos.

Um ataque cibernético classificado como 'nível 4 — severo' pelo prefeito de Springfield (MA) derrubou os sistemas das Springfield Public Schools em 1º de setembro de 2026, forçando o fechamento de todas as 64 escolas do distrito nos dias 8 e 9 de setembro e possivelmente além. Nenhum ator foi identificado, nenhum ransomware confirmado publicamente, e a questão central — se dados de 23.500 alunos foram exfiltrados — permanece sem resposta oficial.

A Boston Scientific confirmou ao mercado, via dois 8-Ks à SEC, que um ataque cibernético em 25 de agosto de 2026 derrubou sistemas on-premises globalmente, paralisou manufatura, processamento de pedidos e envio de dispositivos médicos, e terá impacto material nos resultados do terceiro trimestre e do ano completo de 2026. Nenhum grupo reivindicou a autoria, o vetor de acesso inicial é desconhecido e não há confirmação de exfiltração de dados.

A Prefeitura de Everett (MA) confirmou oficialmente um incidente de segurança em sua rede interna, detectado na noite de 6 de setembro de 2026, que forçou o fechamento do City Hall ao público em 8 de setembro. O tipo do ataque, o vetor de entrada, a extensão do comprometimento e qualquer exposição de dados permanecem sem divulgação pública — o que torna a avaliação de impacto real impossível neste momento.

A concessionária municipal Stadtwerke Landsberg am Lech (Baviera, Alemanha) confirmou que seus sistemas centrais de TI foram criptografados por um ataque na madrugada de 1º de setembro de 2026. O fornecimento de eletricidade, água, gás e calor não foi afetado, mas a empresa não descarta exfiltração de dados pessoais de clientes — incluindo dados bancários —, e nenhum grupo reivindicou o ataque até o fechamento deste relatório.

Um cluster Elasticsearch com 220,7 milhões de registros de um sistema APIS vinculado ao Vietnã ficou acessível via cadeia de más configurações e credenciais padrão entre pelo menos junho de 2022 e junho de 2026; a identidade do operador não foi confirmada, nenhum ator malicioso reivindicou o dado e não há evidência de exfiltração — mas a ausência de logs de servidor impede descartar a hipótese. O incidente é uma exposição acidental, não um ataque.

A Natural Resources Wales (NRW) confirmou publicamente um vazamento acidental de dados sensíveis de funcionários — categorias especiais sob o UK GDPR — causado por erro humano: uma planilha com dados de diversidade foi publicada inadvertidamente no site da organização. Não há ator malicioso; o risco regulatório junto ao ICO é real e o número de afetados permanece não divulgado.

A Healing Paper confirmou oficialmente que um acesso não autorizado a uma API de consultas expôs dados pessoais e médico-estéticos de exatamente 219.665 usuários da plataforma Gangnam Unni em seis países. O vetor é claro (API sem controle de acesso adequado), o ator permanece não identificado, e a natureza altamente sensível dos dados — procedimentos estéticos, fotos, pagamentos — eleva o risco de phishing direcionado a um patamar incomum.

O grupo Rhysida exfiltrou dados do Landesnetz Berlin entre 7 e 12 de agosto de 2026, publicou cerca de 5,26–5,79 TB no dia 4 de setembro após Berlim recusar o pagamento de 30 BTC, e em 6–7 de setembro divulgou um segundo lote contendo credenciais internas — fato confirmado pela própria Chancelaria do Senado. O volume e o conteúdo são alegações do ator ainda não verificadas de forma independente; o incidente em si é confirmado pelo governo estadual, pelo BSI e pela mídia de apuração.

A Mathspace, plataforma australiana de ensino de matemática, confirmou que atacantes exploraram a CVE-2026-72898 — injeção SQL crítica no Metabase (CVSS 10.0) — e exfiltraram dados de 1.079.819 estudantes, pais, professores e funcionários na Austrália e Nova Zelândia. O vetor é o mesmo explorado por ShinyHunters em outras vítimas desta campanha, mas a Mathspace não identificou o ator e nenhum dado foi encontrado publicado ou vendido até o momento.

A Weverse Company confirmou oficialmente que um ator externo explorou uma vulnerabilidade na API de processamento de pagamentos e acessou dados de 422.584 contas. Os dados expostos incluem identificadores internos, métodos de pagamento e valores de transação — mas não nomes, e-mails ou números de cartão. Este é o segundo incidente envolvendo dados de usuários da plataforma em 2026.

A Trezor confirmou que dados pessoais de ~80.700 clientes foram expostos após o ataque ao seu parceiro logístico ShipMonk via zero-day crítico no Metabase (CVE-2026-72898, CVSS 10.0). O agravante central não é técnico: 67 mil registros adicionais existiam porque a ShipMonk não honrou um contrato de exclusão de dados — e emitiu confirmações escritas falsas por anos.

Um serviço dark-web chamado Nexus colocou à venda mais de 153 milhões de scans de carteiras de habilitação norte-americanas, com evidência técnica convergente apontando para a IDScan.net como fonte provável; a empresa reconhece investigação interna mas não confirmou violação, e o FBI abriu inquérito formal em 2 de setembro de 2026. O incidente ainda não tem confirmação oficial da vítima — confidence é 'corroborated', não 'confirmed' — mas o grau de corroboração independente (Krebs, Zach Edwards, Reuters, FBI) torna a atribuição altamente crível.

A CNIL confirmou e multou o Hôpital Privé de la Loire em €500.000 após uma intrusão de cinco dias em junho/julho de 2025 que exfiltrou dados de 727.113 pessoas — 524.867 pacientes e 202.246 terceiros de confiança. O vetor foi comprometimento de credencial de médico externo sem MFA, sem VPN e sem monitoramento de logs; o atacante operou livremente por cinco dias antes de ser descoberto acidentalmente por um praticien que não conseguia mais se autenticar.

Dois consultórios de nefrologia norte-americanos com nomes quase idênticos foram atacados pelo mesmo grupo (Insomnia) em 2026: um notificou 24.088 pacientes ao HHS e cumpriu a lei; o outro, em Arkansas, permanece em silêncio público cinco meses após ser alegadamente alertado, sem registro no HHS e sem aviso no site — com dados já vazados e verificados por dois veículos independentes.

A Ledger SAS enfrenta ação coletiva de US$ 500 milhões por falhas recorrentes de proteção de dados (2020, 2023 e 2026), com pelo menos um cliente que perdeu quase US$ 2 milhões em criptoativos após ataque de phishing viabilizado por dados vazados. Os incidentes subjacentes são confirmados pela própria empresa; o nexo causal entre os vazamentos e o dano financeiro do autor ainda depende de prova forense a ser obtida via discovery.

A autoridade turca de proteção de dados (KVKK) concluiu investigação e confirmou que 505.337 clientes da rede de kebab Baydöner tiveram dados exfiltrados por credencial de funcionário comprometida via malware — o dobro abaixo do alegado por atores em fórum criminoso. A empresa foi multada em 1 milhão de TL por controles inadequados e por não notificar os titulares afetados.

A Thomson Reuters confirmou que um ator não identificado acessou arquivos do C-Track — sua plataforma de gestão processual — entre março e junho de 2026, comprometendo dados de tribunais em pelo menos 11 estados americanos, Ilhas Virgens dos EUA e três cortes de Ontário (Canadá). O número de pessoas afetadas e o vetor de acesso ainda não foram divulgados publicamente, mas a empresa admite que SSNs, dados médicos e documentos judiciais selados podem estar entre o material exfiltrado.

Luminis Health, rede hospitalar de Maryland com cerca de 790 leitos e mais de 6.100 funcionários, confirmou um incidente de cibersegurança que derrubou MyChart, CareConnectNow e outros sistemas críticos a partir de 31 de agosto de 2026. Nenhum ator foi identificado, nenhum dado foi confirmado como exfiltrado até o momento, e a investigação forense está em andamento.

Entre 26 e 28 de agosto de 2026, sistemas de refrigeração em pelo menos 12 commissaries militares dos EUA falharam quase simultaneamente, com freezers entrando em modo de degelo e destruindo estoques de alimentos perecíveis. O DoD confirmou a perturbação operacional mas recusa-se a declarar causa; três agências criminais federais investigam, incluindo o braço cibernético do Army CID — o que escala o caso acima de falha mecânica rotineira —, mas nenhuma evidência pública conecta o incidente a acesso não autorizado até o momento desta análise.

Park Dental Partners (NASDAQ: PARK) confirmou à SEC, via 8-K de 28/agosto/2026, um incidente de cibersegurança com possível acesso a dados de pacientes — mas a investigação está em andamento e nenhum número de registros foi determinado. Nenhum ator reivindicou o ataque, nenhuma notificação HIPAA/OCR foi localizada até a data desta análise.

A Novocure confirmou em filing 8-K à SEC, datado de 1º de setembro de 2026, acesso não autorizado ocorrido em meados de agosto aos sistemas de uma subsidiária, expondo IDs internos de mais de 1.400 pacientes oncológicos nos EUA e dados de contato de funcionários e provedores de saúde. Nenhum ator foi identificado, nenhum dispositivo médico foi comprometido e a empresa não declarou impacto financeiro material.

A Aesto Health, fornecedora SaaS de migração e arquivamento de dados hospitalares sediada em Birmingham (Alabama), confirmou ao HHS que 9.540.683 pacientes tiveram informações de saúde e identidade expostas após acesso não autorizado à sua infraestrutura AWS entre 2 e 18 de dezembro de 2025. Nenhum grupo reivindicou o ataque, o vetor de intrusão não foi divulgado publicamente, e a divulgação pública ocorreu seis meses após a detecção — prazo que merece escrutínio regulatório.

A Nutex Health confirmou à SEC exfiltração de dados de pacientes, funcionários, prestadores credenciados e informações financeiras de seus servidores. O grupo de ransomware The Gentlemen (Storm-2697) reivindicou o ataque no dia 1º de setembro de 2026, ameaçando publicar os dados em nove dias — mas o número de registros afetados, o vetor inicial e a extensão real da exfiltração permanecem desconhecidos.