Vazamento no iFood: escala real permanece em disputa entre empresa e invasor

Este caso é um exercício de separar quatro camadas que a cobertura embaralhou: o que o ATOR alegou, o que a VÍTIMA admitiu, o que o REGULADOR afirmou e o que a EVIDÊNCIA técnica sustenta.

O que o ATOR alegou não é sequer coeso. O usuário 'bacen' publicou no BreachForums a alegação de 43,84 milhões de registros, com prazo de resgate. Mas o mesmo lado criminoso oscilou: em contato com o TecMundo, 'bacen' mencionou um arquivo com registros de 4 milhões de usuários, enquanto um segundo interlocutor, 'Harold Baker', reiterou 'mais de 40 milhões' e atribuiu a origem a uma falha IDOR no SIRA explorada por uma conta policial comprometida ao longo de cerca de três meses. Três números diferentes saindo do mesmo lado (4 milhões, 40 milhões, 43,8 milhões) são, por si só, um indicador de inflação — quem tem a base exata não erra a ordem de grandeza.

O que a VÍTIMA admitiu foi construído sob pressão. O iFood negou o incidente em 29 de maio e só confirmou em 3 de junho, depois que a imprensa recebeu material adicional. A empresa fixou o impacto em ~1,2 milhão de usuários (cerca de 2% da base), atribuiu a um incidente isolado de dezembro de 2025 e afirmou que só nome e CPF foram expostos, sem senhas nem dados financeiros. Duas perguntas técnicas centrais — o vetor exato e o recorte geográfico dos afetados — permaneceram sem resposta objetiva mesmo após questionamento direto de veículos.

O que a EVIDÊNCIA sustenta é menos do que qualquer dos dois lados afirma. O TecMundo, que recebeu três arquivos ('admin.txt', 'sample.txt', 'response.json'), avaliou que as amostras eram consistentes com a operação do SIRA — inclusive com dados de administradores como número de OAB, departamento e função — mas declarou não ter encontrado evidência que comprovasse nem os 43,8 milhões do ator nem os 1,2 milhão da empresa. Ou seja: o número apurado de forma independente é, hoje, nenhum dos dois. O 1,2 milhão é o número que a VÍTIMA admite, não um número verificado por terceiros.

Há uma contradição relevante sobre o escopo dos dados que corrige nosso registro. O iFood insiste em 'apenas nome e CPF'. As amostras analisadas por TecMundo e Terra continham nome, CPF, telefone, e-mail, histórico de endereços de entrega e referências a cartões parcialmente ocultos (sem CVV nem validade), além de dados de servidores públicos vinculados a Polícia Federal, polícias civis, Ministérios Públicos, tribunais e defensorias. A caracterização 'só dados cadastrais' minimiza o que as amostras públicas mostram — embora amostra não prove volume, ela contradiz o recorte de campos que a empresa declara.

O ângulo do SIRA é o mais preocupante estruturalmente. Um portal criado para responder a requisições de autoridades — que por natureza concentra dados sensíveis e ligações com investigações — teria operado com controle de acesso vulnerável a extração gradual. Especialistas ouvidos pela imprensa apontaram o clássico erro de blindar o aplicativo do usuário final enquanto sistemas internos de back-office ficam negligenciados. Vale a ressalva: a atribuição ao SIRA e ao IDOR vem da narrativa do ator e da apuração jornalística; o iFood não confirmou o vetor.

No eixo regulatório, o iFood sustentou que não notificou a ANPD por entender que não houve 'risco ou dano relevante'. A ANPD confirmou ao Estadão que não recebeu comunicação formal e passou a cobrar explicações só depois da repercussão, lembrando o prazo de três dias úteis para incidentes com risco relevante. Sobre a hipótese de dois incidentes distintos (um menor confirmado, um maior não comprovado), ela é levantada por especialistas, mas permanece especulação sem evidência — não há base para tratá-la como fato.

Correção ao nosso registro: mantemos o selo 'confirmed' e o veredito 'inflated', ambos corretos, mas nossa ficha atual está incompleta em dois pontos. Primeiro, o campo 'tipos de dado' (cpf, nome, email, telefone) reflete a alegação do ator, não o que o iFood admite (nome e CPF) — os dois recortes divergem e devem constar separadamente. Segundo, o número apurado de 1,2 milhão deve ser rotulado como 'admitido pela vítima', não como 'confirmado por terceiro independente', porque nenhuma análise externa validou esse volume — o TecMundo explicitamente não o validou.

O iFood admite cerca de 1,2 milhão de titulares afetados — população superior à de várias capitais brasileiras. Os dados admitidos (nome e CPF) e os observados em amostras (também telefone, e-mail e histórico de endereços) são munição direta para engenharia social direcionada: falsos motoboys, falsas confirmações de pedido, golpes de atualização de cadastro e phishing/smishing que já chegam sabendo nome, endereço e histórico da vítima. Um vetor adicional e mais grave: as amostras continham dados de servidores públicos ligados ao SIRA (Polícia Federal, polícias civis, Ministérios Públicos, tribunais, defensorias), o que amplia o risco de exposição de agentes envolvidos em investigações. Não há, até o fechamento, evidência pública de comprometimento de senhas ou de dados financeiros completos, e o prazo de resgate expirou sem confirmação de despejo em massa dos dados prometidos.