Uma Exposição Recorde: 24 Bilhões de Credenciais Encontradas Sem Proteção

Em junho de 2026, pesquisadores de segurança encontraram algo que colocou quase todos os outros vazamentos de dados do ano em perspectiva: um banco de dados acessível publicamente contendo mais de 24 bilhões de registros de credenciais roubadas. Não havia senha, nem parede de login, nem criptografia entre a internet e os dados. Qualquer pessoa que encontrasse o servidor exposto poderia navegar livremente por ele.

Para ser claro, 24 bilhões de registros não significam 24 bilhões de pessoas únicas. Bancos de dados como este são tipicamente compilações, conjuntos de credenciais extraídos e combinados de anos de violações anteriores, logs de malware e despejos de senhas vazadas, todos agregados em um único arquivo massivo. Entradas duplicadas são comuns, e o mesmo endereço de e-mail pode aparecer dezenas de vezes associado a diferentes senhas roubadas em momentos distintos. Ainda assim, a escala absoluta da exposição ilustra um problema que se tornou rotina em 2026: enormes coleções de dados anteriormente roubados continuam ressurgindo, sem proteção, em novos locais.

Esse tipo de exposição é particularmente perigoso porque reduz a barreira de entrada para cibercriminosos. Em vez de pagar por acesso a um conjunto de dados de violação curado em um fórum da dark web, os atacantes podem simplesmente extrair credenciais de um banco de dados aberto e começar a testá-las contra sites bancários, provedores de e-mail e logins corporativos por meio de ataques automatizados de "credential stuffing".

Kodak Entra na Lista de Vítimas de Violações de 2026

No mesmo mês, um segundo incidente, mais direcionado, ocorreu. A Kodak confirmou uma violação depois que um grupo de hackers afirmou ter roubado aproximadamente 2,2 milhões de registros de clientes e corporativos. O grupo listou a Kodak em um site de vazamentos na dark web, uma tática que se tornou prática padrão para grupos de hackers focados em extorsão que buscam pressionar uma empresa a pagar antes que os dados roubados sejam publicados ou vendidos.

Essa abordagem reflete o que aconteceu em outras organizações ao longo do ano. Grupos como o CMD levaram o manual de extorsão adiante ao leiloar dados roubados diretamente em vez de simplesmente ameaçar vazá-los, enquanto o DARK PROJECT usou seu site de vazamentos para nomear múltiplas vítimas de uma só vez como forma de maximizar a pressão. Quer os atacantes da Kodak tenham cumprido ou não a ameaça de publicar o conjunto completo de dados, o padrão é o mesmo: roubar primeiro, depois usar a exposição pública como alavanca.

Parte de um Padrão Maior em 2026

Nem a exposição de 24 bilhões de credenciais nem a violação da Kodak aconteceram isoladamente. 2026 viu um ritmo constante de incidentes em larga escala em todos os setores e geografias. Os sistemas governamentais também não foram poupados; violações de dados nos governos do Reino Unido e da Suíça interromperam operações no início de agosto, mostrando que organizações do setor público enfrentam os mesmos riscos de exposição que empresas privadas. No lado do consumidor, um processo judicial movido por uma violação em junho alega que até 2,4 bilhões de usuários do TikTok tiveram seus dados expostos, uma afirmação que, se precisa, estaria entre as maiores violações já registradas.

O que une esses incidentes não é uma causa única, mas um conjunto compartilhado de fraquezas subjacentes: bancos de dados desprotegidos deixados abertos na internet, credenciais reutilizadas entre serviços e atacantes que cada vez mais tratam dados roubados como uma mercadoria a ser leiloada, vazada ou resgatada, em vez de simplesmente acumulada.

O Que Isso Significa Para Você

A maioria das pessoas nunca saberá com certeza se suas credenciais específicas estavam dentro daquele banco de dados de 24 bilhões de registros, e a Kodak não publicou uma lista completa de quem foi afetado por sua violação. Essa incerteza é parte do motivo pelo qual os vazamentos de dados de 2026 importam para usuários comuns, não apenas para departamentos de TI. Se sua combinação de e-mail e senha apareceu em qualquer violação anterior, e houve muitas, há uma chance real de que ela faça parte de um conjunto de dados agregado maior que circula agora.

A resposta prática não exige pânico. Exige higiene básica que feche os caminhos de ataque mais comuns: senhas únicas por conta, autenticação multifator onde for oferecida e verificações periódicas se seu endereço de e-mail apareceu em violações conhecidas.

Conclusões Acionáveis

  • Use um gerenciador de senhas para gerar e armazenar senhas únicas para cada conta, para que uma credencial vazada de uma violação não possa desbloquear outras.
  • Ative a autenticação multifator em e-mail, serviços bancários e qualquer conta que contenha informações pessoais ou financeiras sensíveis.
  • Verifique serviços de monitoramento de violações periodicamente para saber se seu endereço de e-mail apareceu em um vazamento conhecido, incluindo grandes bancos de dados agregados como o descoberto em junho.
  • Trate qualquer e-mail inesperado de redefinição de senha ou alerta de login como um sinal para mudar sua senha imediatamente, mesmo que você não consiga confirmar qual violação os desencadeou.
  • Mantenha-se informado sobre vazamentos de dados contínuos em 2026 que afetam empresas com as quais você faz negócios, pois notificações de violação geralmente chegam semanas ou meses após o incidente real.

Vazamentos de dados nessa escala provavelmente não diminuirão em 2026. Manter-se à frente deles não significa evitar todos os riscos; significa garantir que, quando um vazamento acontecer, ele não se transforme em uma conta comprometida ou identidade roubada.