ShinyHunters infla números: Carhartt tem 12,9 mi expostos, não 25 mi

O incidente Carhartt é um caso-livro de 'pay-or-leak': o ShinyHunters exfiltrou dados, exigiu US$ 3,3 milhões, negociou brevemente — a Carhartt enviou mensagem encerrando as tratativas — e publicou o dump quando a negociação colapsou. O timestamp interno dos arquivos ('20260801_033207') sugere que a exfiltração ocorreu em 1º de agosto, duas semanas antes da publicação, dando ao grupo tempo para preparar o arquivo e conduzir a extorsão em silêncio.

O vetor técnico mais provável, segundo a análise de Hunt, é o acesso ao warehouse analítico da Carhartt no Databricks. A estrutura de diretórios do dump revela o schema TPC-DS (tpcds_sf1000/customer/chunk_XXXX.csv), um benchmark padrão da indústria para simular analytics de varejo em escala. Isso é consistente com o modus operandi do ShinyHunters em 2025-2026: ataques a plataformas cloud de analytics e SaaS (Snowflake, Databricks, Salesforce) em vez de bancos de dados transacionais tradicionais.

A contaminação do dump com dados TPC-DS é o elemento analítico mais relevante deste caso. O extrator de e-mail bruto do HIBP produziu 24.876.077 endereços. Após análise com OpenClaw, Hunt identificou padrões inconfundíveis de dados sintéticos: domínios .edu e .org com strings aleatórias (ex: michelle.larue@lkvb06fkzsjv.org), distribuição uniforme de países de nascimento abrangendo 211 nações (incluindo mais registros em Montenegro do que nos EUA), e datas de nascimento no início do século XX. Esses padrões são marca registrada do gerador TPC-DS. Após múltiplas rodadas de filtragem, o número final foi 12.933.413 — aproximadamente metade do bruto. Hunt observou explicitamente que não é possível determinar se a injeção foi intencional por parte dos atacantes ou um artefato da própria infraestrutura da Carhartt, que pode ter armazenado dados de benchmark ao lado de dados reais no mesmo ambiente Databricks.

A autenticidade dos dados reais é corroborada por evidências internas ao dump: mais de 15.000 endereços @carhartt.com, padrões de sub-endereçamento específicos da empresa e domínios como carharttdonotship.com. Hunt concluiu, com base em seu histórico de revisão de quase 100 dumps do ShinyHunters, que o grupo não fabrica dados — o que ele publica é real; o que infla são os números.

Do lado da vítima, a Carhartt manteve silêncio completo até o fechamento deste relatório: não confirmou, não negou, não comunicou usuários publicamente, não protocou nenhum filing de incidente identificado. Esse comportamento não é evidência de ausência de incidente — é o padrão típico de organizações em fase de resposta/contenção ou em avaliação jurídica antes de qualquer comunicado. A ausência de confirmação impede elevar o confidence de 'corroborated' para 'confirmed', e impede que qualquer número migre para verified_records.

O contexto do ator é relevante: o ShinyHunters tem entre seus alvos recentes Canvas (275 milhões de registros alegados, abril-maio 2026), ADT (5,5 milhões via Okta, abril 2026), SoundCloud (29,8 milhões, dezembro

2025) e dezenas de organizações via cadeia de suprimentos Anodot/Snowflake. O grupo opera sob modelo 'pay-or-leak' sem criptografia de arquivos — exfiltração pura. O fato de não terem anexado amostras de prova ao post inicial do Carhartt (diferente de campanhas anteriores) é uma anomalia menor, mas não invalida o caso dado o volume de evidência técnica no dump.

Aproximadamente 12,9 milhões de contas de clientes e mais de 15.000 registros de funcionários com endereços @carhartt.com foram publicados em claro na dark web. Os dados expostos (nome, e-mail, telefone, endereço físico) formam perfis de contato completos, adequados para phishing direcionado, smishing e engenharia social. O dado de fidelidade (loyalty/royalty metadata) mencionado pelo ShinyHunters, se confirmado, pode revelar padrões de compra e relacionamento comercial de alto valor para ataques subsequentes. Do universo de 12,9 milhões, 83% já constavam em breaches anteriores no HIBP — o que não elimina o risco, mas indica que a exposição incremental afeta principalmente os ~17% restantes. A Carhartt não notificou usuários publicamente até o momento; escritórios de advocacia nos EUA já anunciaram investigações para ação coletiva, o que deve criar pressão legal independente de qualquer comunicado voluntário da empresa.