Uma entrada da violação de dados da Crunchbase no Have I Been Pwned colocou 559.908 endereços de e-mail em um banco de dados público pesquisável. De acordo com a reportagem do TechNadu, os dados foram adicionados ao serviço de notificação de violações em 14 de outubro de 2026, e os endereços pertencem em grande parte a leads e contatos comerciais. A listagem segue uma tentativa de extorsão de "pagar ou vazar" de janeiro de 2026 pelo grupo ShinyHunters.

Se você já se cadastrou na Crunchbase, foi inserido em seu pipeline de vendas ou trocou e-mails com alguém que trabalha lá, vale a pena uma verificação rápida.

O que vazou e como o ShinyHunters chegou aqui

A Crunchbase é uma empresa privada conhecida por seu banco de dados de informações sobre negócios e startups. De acordo com o relatório, os 559.908 endereços de e-mail agora no Have I Been Pwned (HIBP) pertencem em grande parte a leads e contatos comerciais, não a contas de consumidores comuns. O HIBP também lista tipos adicionais de dados em sua entrada para o incidente. O trecho que revisamos não detalha todos os campos, então a própria listagem do HIBP é o melhor lugar para ver exatamente o que foi exposto.

A linha do tempo importa. Em janeiro de 2026, o ShinyHunters mirou a Crunchbase com o que o relatório chama de tentativa de extorsão de "pagar ou vazar". O grupo afirmou que os dados que alegadamente obteve somavam mais de 2 milhões de registros. A listagem de outubro sugere que a disputa terminou com os dados circulando, embora o trecho do relatório não detalhe como ou onde foram divulgados.

Observe a diferença entre os números. Os 559.908 endereços no HIBP não são os mesmos que a alegação do grupo de mais de 2 milhões de registros. Registros e endereços de e-mail únicos são coisas diferentes, e a contagem do HIBP reflete o que foi carregado em seu banco de dados. Grupos de extorsão frequentemente fazem alegações exageradas, então trate os números como separados até que mais detalhes surjam.

Este é um padrão familiar. Nossa cobertura de como o grupo de ransomware Gentlemen listou alegações contra MoneyGram, Deloitte e KFC mostra como prazos de resgate e alegações públicas são usados como pressão, e por que a ausência ou presença de amostras de dados importa ao julgar se uma alegação é real.

Como verificar se seu e-mail está no Have I Been Pwned

A verificação leva menos de um minuto:

  1. Acesse o site Have I Been Pwned e insira seu endereço de e-mail na caixa de busca.
  2. Revise a lista de violações que aparecerem. Se a Crunchbase estiver entre elas, seu endereço estava nos dados vazados.
  3. Abra a entrada da Crunchbase para ver quais tipos de dados foram expostos junto com seu endereço.
  4. Repita a busca para cada endereço que você usa, especialmente endereços de trabalho e os mais antigos de empregos anteriores.

Um detalhe que muitas pessoas deixam passar: como este vazamento é composto em grande parte por contatos comerciais, seu e-mail de trabalho tem mais probabilidade de aparecer do que um pessoal. Verifique ambos. Você também pode usar o recurso de notificação do HIBP para ser alertado se seu endereço aparecer em violações futuras.

Um resultado limpo não é garantia de segurança. O HIBP cobre apenas violações que foram carregadas nele, então é um sinal útil, não uma auditoria completa de sua exposição.

Por que contatos comerciais expostos enfrentam phishing direcionado

Uma lista vazada de contatos comerciais é valiosa para atacantes por uma razão específica: ela diz a eles quem trabalha onde e quem pode ser um lead de vendas, comprador ou tomador de decisão. Esse contexto torna os golpes mais convincentes do que spam genérico.

Espere mensagens que referenciem seu cargo, seu setor ou um relacionamento plausível com fornecedores. Um e-mail que parece vir de um provedor de dados, um cliente em potencial ou um contato financeiro tem mais probabilidade de ser aberto quando o remetente parece conhecer seu negócio. E-mails que pedem para você "verificar sua conta", abrir uma fatura ou mover uma conversa para outro canal merecem suspeita extra.

O segundo risco é o preenchimento de credenciais. Se qualquer dado exposto incluir senhas, ou se você reutilizou uma senha da Crunchbase em outro lugar, atacantes podem tentar a mesma combinação de e-mail e senha em outros serviços. Senhas reutilizadas transformam uma única violação em muitas.

Equipes de extorsão também estão ligadas a um ecossistema criminoso mais amplo. Atividades recentes de aplicação da lei, como a apreensão de plataformas de hacking e a transferência de um suspeito de ransomware para a Alemanha, mostram que a pressão sobre esse mundo está crescendo, mas dados vazados tendem a continuar circulando muito depois de o grupo original ser desarticulado.

O que isso significa para você

Se seu endereço está nos dados da Crunchbase, seu e-mail por si só não é uma catástrofe. O risco prático é que você se torne um alvo mais fácil para mensagens convincentes e personalizadas. Se você gerencia uma equipe, o mesmo se aplica a colegas cujos endereços aparecem no vazamento, já que atacantes podem se passar por você para alcançá-los.

Passos a tomar se seu e-mail foi exposto

  • Altere sua senha da Crunchbase se você tiver uma conta, e altere-a em qualquer outro lugar onde a reutilizou.
  • Use um gerenciador de senhas para criar uma senha única para cada serviço, para que uma violação não possa desbloquear outra.
  • Ative a autenticação multifator, preferencialmente com um aplicativo autenticador ou uma chave de hardware em vez de SMS.
  • Verifique solicitações inesperadas por outro canal. Se um e-mail pedir pagamento, credenciais ou arquivos sensíveis, confirme por meio de um número de telefone ou canal em que você já confia, não um fornecido na mensagem.
  • Alerta sua equipe de TI ou segurança se um endereço de trabalho for afetado, para que possam monitorar tentativas de personificação.
  • Tenha cautela com links e anexos em mensagens que referenciem seu trabalho ou empresa, mesmo que o remetente pareça familiar.

A conclusão

A listagem da violação de dados da Crunchbase no Have I Been Pwned é um lembrete de que uma tentativa de extorsão pode terminar em um vazamento público meses depois. Pesquise seus endereços de e-mail pessoais e de trabalho no Have I Been Pwned hoje, e depois siga os passos de proteção acima. Para mais contexto sobre como campanhas de pressão como esta se desenrolam, leia nossa cobertura das alegações de ransomware do Gentlemen vinculada anteriormente neste post.

FAQ: Q1: O que é a violação de dados da Crunchbase e quantos e-mails foram afetados? A1: A violação de dados da Crunchbase adicionou 559.908 endereços de e-mail ao Have I Been Pwned. Os endereços pertencem em grande parte a leads e contatos comerciais, e foram adicionados ao serviço de notificação de violações em 14 de outubro de 2026. Q2: Quem estava por trás da violação da Crunchbase? A2: A listagem segue uma tentativa de extorsão de "pagar ou vazar" de janeiro de 2026 pelo grupo ShinyHunters. O grupo afirmou que os dados que alegadamente obteve somavam mais de 2 milhões de registros. Q3: Por que o HIBP mostra 559.908 endereços quando o ShinyHunters alegou mais de 2 milhões de registros? A3: Registros e endereços de e-mail únicos são coisas diferentes, e a contagem do HIBP reflete o que foi carregado em seu banco de dados. Grupos de extorsão frequentemente fazem alegações exageradas, então os números devem ser tratados como separados. Q4: Como verifico se meu e-mail foi afetado pela violação da Crunchbase? A4: Acesse o site Have I Been Pwned, insira seu endereço de e-mail na caixa de busca e revise a lista de violações. Se a Crunchbase aparecer, seu endereço estava nos dados vazados, e você pode abrir a entrada para ver quais tipos de dados foram expostos. Q5: Meu e-mail de trabalho tem mais probabilidade de ser afetado do que meu e-mail pessoal? A5: Sim, porque este vazamento é composto em grande parte por contatos comerciais, seu e-mail de trabalho tem mais probabilidade de aparecer do que um pessoal. Vale a pena verificar ambos. ---END---