The scoreboard of our verdicts

A Vibetech, empresa indiana de desenvolvimento de software e IA, operava uma plataforma de inteligência de dados que agregou 13,7 milhões de registros oriundos de vazamentos anteriores de terceiros — e deixou esse repositório aberto na internet sem autenticação. Não se trata de um vazamento novo: são dados reciclados de incidentes já conhecidos (AT&T, Amazon, Casio, FBI, entre outros), re-expostos por falha de configuração. A Vibetech não se manifestou publicamente e nenhum regulador confirmou notificação até o momento.

A Ampath Laboratories confirmou um incidente de segurança real com acesso não autorizado a dados pessoais e administrativos de pacientes. O número de 80 milhões alegado pelo ator ByteToBreach refere-se a entradas de banco de dados, não a indivíduos únicos — a própria Ampath diz que o total de pessoas afetadas é materialmente menor, e não há evidência até agora de que registros clínicos ou de diagnóstico foram comprometidos.

O Defense Manpower Data Center (DMDC), repositório central de pessoal do Departamento de Defesa dos EUA, confirmou que uma vulnerabilidade em sistema de compartilhamento de arquivos permitiu acesso não autorizado a registros não criptografados de aproximadamente 3,05 milhões de pessoas entre outubro de 2025 e 16 de julho de 2026. O número de 4 milhões circulado inicialmente era estimativa de fontes anônimas — o DoD confirmou 2,76 milhões de indivíduos vivos e 294 mil falecidos; o registro interno com país 'BR' e setor em branco estava errado e foi corrigido.

O ataque à Dodo Pizza em 27–28 de setembro de 2026 é real e confirmado pela própria empresa: houve acesso não autorizado a sistemas de dados de clientes. O número de 68 milhões de registros é alegação exclusiva do grupo DataSuckers — sem verificação independente e com sinais matemáticos que sugerem forte inflação.

A CenterPoint Energy confirmou via filing na SEC que um terceiro não autorizado obteve dados pessoais de 'uma porção' de seus clientes por meio de um sistema externo — provavelmente uma API de pagamento de contas sem controles adequados. O ator alega 7,49 milhões de registros; a empresa não confirmou esse número nem a autenticidade do dataset publicado, tornando o volume real a principal lacuna do caso.

A FLHSMV confirmou formalmente em 11 de setembro de 2026 que o banco DAVID foi comprometido via credencial de um policial de Plant City armazenada indevidamente em dispositivo pessoal. O ShinyHunters alega 200 mil registros e um vetor diferente (falha de reset de senha em múltiplas contas, incluindo de agente do FBI) — contradição que o estado não resolveu publicamente e que permanece a lacuna analítica central do caso.

A McKesson confirmou à SEC exfiltração real de dados de seus ambientes Salesforce e Snowflake após ataque de vishing pelo grupo ShinyHunters; o número de 284 milhões de registros é contagem bruta de linhas, não de pacientes únicos — o HIBP verificou 6,4 milhões de e-mails únicos no conjunto de dados publicado, o que define o piso credível de indivíduos afetados. O incidente é real e grave, mas a cifra do ator está inflada.

A Veradigm confirmou à SEC, em 8 de setembro de 2026, que um terceiro teve credenciais roubadas de sua API, expondo dados pessoais de pacientes, incluindo CPFs equivalentes (SSNs). O grupo The Gentlemen reivindica 3,5 milhões de registros — número não confirmado e provavelmente inflado, dado que a própria empresa circunscreve o impacto a 'um número reduzido de clientes'. É o segundo incidente confirmado de credencial roubada via terceiro em menos de dois anos.