Navigate360 admite hack de tips 'anônimos' sete meses depois

O que a vítima admite: em 23/10/2026 a Navigate360 afirmou que um terceiro não autorizado acessou um de seus sistemas e obteve cópias de dados entre 21/11/2025 e 05/03/2026. Disse que nome, endereço, data de nascimento, SSN, telefone, e-mail e 'outras categorias sensíveis' podem ter sido expostos, e que não tem evidência de uso para fraude ou roubo de identidade. O comunicado não informa quantas pessoas ou registros foram afetados nem o vetor. A frase sobre ausência de evidência de fraude é uma negativa autointeressada, difícil de verificar sete meses depois de o dataset circular entre jornalistas e pesquisadores.

O que o ator alega: em março, o alias 'Internet Yiff Machine' disse ter roubado 93 GB, com mais de 8 milhões de tips. O DataBreaches grafa o alias de outra forma ('Yiff Internet Machine'); tratamos como o mesmo ator. A DDoSecrets, que distribuiu o dataset, afirma que os dados foram obtidos em texto claro, contra a promessa de criptografia, e que administradores teriam capacidade de desanonimizar usuários. Esse é o ponto de maior consequência, e as análises independentes (CBC, Straight Arrow News, DataBreaches) apontam na mesma direção. Nenhuma delas foi reproduzida por nós, e a Navigate360 não respondeu publicamente a essa acusação.

A distância entre os números: 8,3 milhões não é número da vítima. O hacker falou em 'mais de 8 milhões'; a CBC diz ter analisado mais de 8,3 milhões de registros brutos do vazamento; a Navigate360 não deu contagem. Algumas manchetes (a da Cybernews, por exemplo) misturam a confirmação da empresa com o total de registros e atribuem a ela um número que o comunicado não traz. Por isso verified_records fica nulo e 8,3 milhões entra como 'alegado/contado fora da vítima'. Outro ponto: 'registro' não é 'pessoa'. Um registro é uma tip, e uma tip pode ter zero, um ou vários indivíduos identificáveis.

Os números parciais que existem vêm de clientes e são mais baixos do que o total e mais úteis: Nevada diz que ~10% das tips do SafeVoice com PII foram comprometidas; a Toronto Crime Stoppers relata que a Navigate360 lhe disse que 176.859 tips (jan/2022 a nov/2025) estavam nos dados roubados, com 14.973 nomes cuja natureza a empresa não sabe dizer; a CBC contou mais de 1,5 milhão de tips canadenses, com mais de 850 mil contendo PII. A janela 21/11/2025–05/03/2026 é o período do acesso do invasor, não o das tips. O dataset cobre cerca de 25 anos, e essa diferença é a razão de datas divergentes nas coberturas.

Contradições e pontos de atrito. Primeiro, o vetor: um resumo secundário da comunicação da Navigate360 à Toronto Crime Stoppers (25/03) fala em uso de login roubado de conta de cliente, e a carta dos senadores cita reportagens sobre exploração de vulnerabilidades. Não conseguimos ler o documento primário da Toronto e a Navigate360 não publicou forense, então tratamos como não resolvido. Segundo, a cronologia de comunicação: a Toronto diz ter ouvido em março que o P3 era seguro, em abril que seus dados não tinham sido levados e em junho que tinham, sem detalhar o conteúdo. Nevada descreve relatórios 'insuficientes' em setembro e em 06/10. Terceiro, a base de clientes aparece como mais de 35 mil escolas (HSToday/Cybernews) ou mais de 30 mil escolas e 5 mil agências (CyberScoop). Isso não altera a conclusão, mas mostra que nem o porte do cliente está padronizado.

Quem se beneficia de qual narrativa: o DataBreaches.net publicou a atualização que originou este registro, mas não é observador neutro. Diz ter recebido cópia completa do dataset e conduz campanha pública por responsabilização. Isso não invalida os fatos, que convergem com CBC, Nevada e o comunicado da empresa, mas o enquadramento ('conspiração de silêncio', 'maior vazamento do gênero') é opinião editorial, não achado. A Navigate360 se beneficia de um comunicado sem números. O ator se apresenta como hacktivista, sem pedido de resgate conhecido pelas fontes lidas.

Resposta institucional: houve carta de senadores (24/04), investigação criminal do Departamento de Justiça dos EUA (citada pelo NDE via imprensa local de Nevada), investigação do Comissário de Privacidade do Canadá, centrada nas salvaguardas da Navigate360 como provedora comercial, e suspensões de uso por Crime Stoppers e polícias no Canadá. A Crime Stoppers é sem fins lucrativos e a lei federal canadense de privacidade em geral não a alcança, o que desloca o alvo regulatório para o fornecedor. Não encontramos, nesta apuração, notificação a procuradorias-gerais dos EUA com contagem de afetados nem manifestação da ANPD (o caso não envolve o Brasil até onde apuramos).

Afetados: denunciantes de escolas, comunidades, Crime Stoppers, forças de segurança e militares, além de pessoas citadas em denúncias. Há registros com SSN, data de nascimento, contatos e conteúdo de denúncias, inclusive casos sensíveis (reportagens citam um estudante com histórico de tentativa de suicídio). Na prática, o risco vai além de fraude financeira. Denunciantes que acreditavam ser anônimos podem ser identificados e há risco de retaliação, e pessoas citadas como suspeitas ou vítimas ficam expostas. Em Nevada, o estado diz não conseguir notificar individualmente quem usou o sistema justamente por causa do anonimato. No Canadá, ao menos 35 agências suspenderam programas ou parcerias, o que reduz o canal de denúncia.