CSX avisa funcionários só em outubro de vazamento por vishing

O registro partia de uma premissa que não se sustenta: tratar o caso como alegação sem ator e sem verificação. Não há alegação de criminoso. A fonte é uma reportagem sobre uma notificação de vazamento feita pela própria CSX. Por isso o selo correto é 'confirmed' e o veredito é 'real'. A data 2026-11-03 do nosso registro é a da republicação no DataBreaches.net, que reproduz a WTOL, e não o início do incidente.

O que a vítima diz: segundo o aviso à procuradoria de New Hampshire, repassado por escritórios de advocacia e agregadores (não abri o documento primário), a CSX investigou dois incidentes. Em abril de 2026, um fornecedor pode ter repassado dados da empresa a terceiro não autorizado, e a investigação não pôde descartar que dados de funcionários e terceiros tenham ido junto. Em 29/05, um funcionário atendeu um vishing e o invasor entrou no Microsoft

365. Até 09/06 ele acessou e obteve arquivos. Os dados citados são nome, SSN, número de CNH e dados bancários (conta e roteamento), com possibilidade de outras informações sensíveis, inclusive de saúde.

O que o regulador afirma: não encontrei manifestação de regulador além das próprias entradas nos registros de procuradorias estaduais, que são notificações da vítima e não conclusões de apuração. Agregadores relatam 434 residentes em Massachusetts, 57 em New Hampshire e 9 em Vermont. São números parciais, por estado, e nada indica que somem o total.

O número: a única cifra global é 'cerca de 40 mil' funcionários atuais e antigos notificados. Vem de uma reportagem de TV local que atribui a informação à empresa. Registro-a como dado da vítima de confiança limitada, e não como verified_records, porque não a vi em documento primário. Há também ruído de outras fontes. Um comunicado de escritório de advocacia fala em 'dados de clientes' e em 'investidores e inquilinos', o que o aviso da CSX não sustenta. O texto descreve funcionários atuais e antigos e terceiros. Dois agregadores descrevem a entrada de Vermont com categorias diferentes: um lista SSN, documento e dados financeiros, o outro inclui data de nascimento, folha, depósito direto e retenção de imposto. Não consigo dizer qual é fiel ao texto. A segunda lista, se correta, indicaria dados de RH mais amplos do que os do aviso de NH.

A contradição que a imprensa não trabalhou é o tempo. O acesso foi em maio e junho. A CSX só determinou em 26/08 que havia dados pessoais nos arquivos. As cartas saíram em 20/10, cerca de quatro meses e meio depois do início do acesso. A matéria que alimentou o nosso registro embaralha essa cronologia e diz que o incidente 'aconteceu entre 29/05 e 09/06, quando a empresa tomou conhecimento'. O que os avisos indicam é que 29/05 a 09/06 é a janela de acesso do invasor, e não a data em que a CSX tomou conhecimento. Para quem teve SSN e conta bancária expostos, esse intervalo é janela de fraude sem aviso.

O ângulo do vetor: vishing contra funcionário que entrega acesso a nuvem corporativa é um padrão conhecido, mas a CSX não divulgou o mecanismo. Ninguém sabe se o invasor obteve credenciais e MFA na própria ligação, se induziu o registro de um novo método de autenticação ou se usou outro caminho. Também não sabemos quanto tempo o invasor ficou antes de ser detectado, nem se a detecção partiu de controle da CSX ou de alerta externo. Sem isso, não dá para dizer qual controle falhou além do humano.

O ator: ninguém reivindicou, e eu não consegui atribuir. Não encontrei publicação em site de extorsão, mas a busca foi limitada e não cobriu esse tipo de fonte. Não há base para ligar o caso a um grupo específico. O incidente de 2021 (Accellion/Clop) é um evento anterior e distinto, e não deve ser usado para inferir autoria.

Atenção ao tipo de organização: a CSX é infraestrutura crítica, mas tudo o que foi confirmado se limita a dados pessoais em arquivos do Microsoft

365. Não há indício, nas fontes lidas, de impacto operacional ou de acesso a sistemas de controle ferroviário. A CSX disse em 2021 que o incidente daquela época não afetou a operação, mas não encontrei declaração equivalente para 2026, então isso é lacuna e não ausência de impacto.

Cerca de 40 mil funcionários atuais e antigos (e possivelmente terceiros) receberam carta, segundo a empresa. Para esse grupo o risco é concreto: SSN, CNH e conta/roteamento bancário permitem abrir contas, falsificar identidade e tentar desviar depósito direto. A CSX oferece monitoramento de crédito e proteção de identidade gratuitos. Não há impacto operacional apurado nas fontes lidas.