Reguladora do Canadá mira a Navigate360, não o Crime Stoppers
Crime Stoppers (Canadá) / Navigate360 (plataforma P3)
alegado el · verificado el
O vazamento é real e a Navigate360, fornecedora da plataforma P3, o confirmou. O Escritório do Comissário de Privacidade do Canadá abriu investigação em 27/10/2026 contra a fornecedora, não contra o Crime Stoppers, que a lei federal em regra não alcança por ser organização sem fins lucrativos. A escala canadense (mais de 1,5 milhão de denúncias) vem da análise da CBC. Nenhuma fonte oficial confirmou esse número.
Juicios analíticos
Cada evaluación viene con su nivel de confianza declarado, según la práctica de inteligencia (ICD 203 / FIRST). Confianza alta no es certeza; confianza baja no es una suposición — es el peso que sostiene la evidencia disponible.
O incidente é real: a Navigate360 admite que um terceiro não autorizado copiou dados de um de seus sistemas entre 21/11/2025 e 05/03/2026. A dimensão canadense também foi confirmada por fontes independentes (capítulo de Toronto, RCMP, polícias locais, OPC).
O número de 8,3 milhões, alegado pelo ator e repetido pela imprensa, é de registros brutos que misturam EUA e Canadá, escolas e Crime Stoppers. Não é contagem de pessoas e não é 'inflado' nem 'reciclado'. A parte canadense (mais de 1,5 milhão de denúncias em 25 anos, cerca de metade com dados pessoais) é número da CBC, obtido por análise de uma cópia dos dados. Nenhuma fonte A o confirmou. Só o capítulo de Toronto cita número da fornecedora: 176.859 denúncias e 14.973 nomes.
A comunicação inicial da Navigate360 subestimou ou omitiu a exposição canadense. Segundo o capítulo de Toronto e o RCMP, eles foram informados primeiro de que não havia dados canadenses, e depois de que Toronto não fora afetada. O reconhecimento público só veio em 23/10/2026, sete meses depois da alegação do ator.
A investigação do OPC cobre apenas as salvaguardas de segurança da Navigate360 sob a PIPEDA. O Crime Stoppers, como entidade sem fins lucrativos, em regra está fora do alcance da lei, e a CBC relata que o regulador provincial de Ontário tampouco pode investigá-lo. Há uma lacuna de responsabilização regulatória sobre quem é o controlador das denúncias.
O acesso inicial envolveu credencial de cliente comprometida: a Navigate360 confirmou ao capítulo de Toronto, em 25/03, que o acesso à P3 se deu com login roubado de um cliente. A alegação do ator de que depois explorou uma vulnerabilidade não tem confirmação de nenhuma fonte oficial.
O risco de retaliação contra denunciantes e citados é concreto, porque a CBC contatou mais de uma dúzia de denunciantes a partir dos dados. A afirmação da fornecedora de 'sem evidência de uso para fraude ou roubo de identidade' não trata de dano físico nem de retaliação. Não encontrei caso documentado de retaliação até aqui.
Análisis
Correção ao registro: o registro trata como 'vítima' o título do comunicado do regulador, e o ator, o país e o selo estavam em branco ou fracos. O ator é o coletivo hacktivista 'Internet Yiff Machine', que alegou o ataque em março de
2026. A data de 28/10 é do anúncio do OPC e de seu eco na imprensa. A alegação é de 18-19/03. O selo passa de 'claimed' para 'confirmed' e o veredito de 'unverified' para 'real', porque a própria Navigate360 admitiu o acesso e a cópia de dados, e o OPC abriu investigação formal.
O que o ator alega: ter tomado uma conta de cliente da P3 por engenharia social, explorado uma vulnerabilidade e levado cerca de 93 GB, mais de 8 milhões de denúncias de 1987 a 2025, incluindo contas de usuário e chamados de suporte. Alega ainda uma página interna que permitiria a clientes buscar IPs de denunciantes, o que contradiria a promessa de anonimato (SC Media, citando a Straight Arrow News). Essa última alegação não foi confirmada por nenhuma fonte oficial que eu tenha encontrado. O manifesto, segundo a imprensa, tinha como objetivo desmentir a promessa de que a plataforma era 'anônima' e 'segura'.
O que a vítima admite: a Navigate360 diz que soube do incidente em 18/03 e que um terceiro obteve cópias de dados entre 21/11/2025 e 05/03/2026. A empresa diz que as informações variam por pessoa e que não há evidência de uso para fraude ou roubo de identidade. Não informa o número de afetados. O capítulo de Toronto relata que a fornecedora lhe informou 176.859 denúncias (jan/2022 a nov/2025) e 14.973 nomes, sem saber se são denunciantes, citados ou ambos. Em Nevada, a fornecedora informou que cerca de 10% das denúncias do SafeVoice com dados pessoais foram comprometidas.
O que o regulador afirma: o OPC investiga a Navigate360, e não o Crime Stoppers, para avaliar se as salvaguardas na época cumpriam a PIPEDA. O próprio comunicado diz que a lei em geral não se aplica a organizações sem fins lucrativos e que o Crime Stoppers é uma. A CBC acrescenta que o regulador de Ontário também não pode investigar. O OPC não deu números nem detalhes técnicos.
O que a evidência independente demonstra: a CBC analisou uma cópia dos dados e contou mais de 1,5 milhão de denúncias canadenses em mais de 60 capítulos, com cerca de metade contendo dados pessoais. Contatou mais de uma dúzia de denunciantes, que reagiram com choque e medo. A própria CBC diz não ter conseguido determinar, em cada caso, se a informação pertence a denunciante, vítima ou acusado. Essa é a limitação central da contagem. Os 8,3 milhões do ator aparecem também em página da Washoe County School District (Nevada), mas como contagem de registros, não de pessoas. A distância entre 8,3 milhões (EUA e Canadá, escolas e Crime Stoppers) e 1,5 milhão (só Canadá, 25 anos) é, portanto, de escopo, não de exagero.
O ponto mais incômodo é a transparência. Segundo Toronto, a Navigate360 afirmou repetidamente que a P3 era segura e que não havia dados canadenses afetados. O RCMP diz que lhe disseram que o vazamento não incluía dados canadenses ou pessoais. O aviso público só saiu sete meses depois da alegação e dois dias depois da reportagem da CBC. O DataBreaches.net, que acompanha o caso desde abril, já questionava em setembro se alguém seria notificado individualmente. Em Nevada, a agência diz não conseguir identificar e notificar todos os afetados, porque o sistema foi desenhado para ser anônimo.
A CBC aponta ainda que os dados continham informações pessoais não redigidas e décadas de registros retidos, o que torna a falha de governança tão relevante quanto a de acesso: o dano cresce porque a plataforma guardava o que deveria ter sido removido. A conclusão de que Crime Stoppers e fornecedora 'falharam em proteger' as identidades é da CBC, não de regulador. Ela só será testada pelo resultado da investigação do OPC, e apenas quanto à Navigate360.
Cronología
- 21 nov 2025Início da janela em que, segundo a Navigate360, um terceiro copiou dados de um de seus sistemas.
- 05 mar 2026Fim da janela de cópia de dados admitida pela Navigate360.
- 18 mar 2026A Navigate360 diz ter tomado conhecimento da atividade suspeita. Nesta data e na seguinte, o capítulo de Toronto toma ciência dos relatos de invasão da P3.
- 19 mar 2026Noticiado (Reuters, via Cyprus Mail) que o ator 'Internet Yiff Machine' alega ter invadido a P3 Global Intel, braço da Navigate360, e roubado 93 GB com mais de 8 milhões de denúncias. A empresa diz apenas que apura se houve incidente.
- 25 mar 2026Segundo o capítulo de Toronto, a Navigate360 confirma que o acesso à P3 se deu com login roubado de um cliente, mas diz que o sistema está seguro e operacional.
- 18 jun 2026Data de um memorando interno da Canadian Crime Stoppers Association obtido pela CBC, que sugere que o comissário de privacidade já preocupava a associação.
- 14 sep 2026A Crime Stoppers USA avisa seus membros que a Navigate360 enviou relatórios de impacto por programa e planeja um aviso público para o fim de setembro (DataBreaches.net).
- 21 oct 2026A CBC publica a análise: mais de 1,5 milhão de denúncias canadenses expostas. O Crime Stoppers de Toronto suspende o recebimento de denúncias.
- 23 oct 2026A Navigate360 publica o aviso de violação de dados, o primeiro reconhecimento público. Cita nome, endereço, data de nascimento, SSN, telefone, email e outras categorias, sem informar o número de afetados.
- 27 oct 2026O OPC anuncia investigação contra a Navigate360 sob a PIPEDA. A OPP também suspende a promoção do Crime Stoppers. A CBC contabiliza 35 agências ou programas suspensos.
Datos involucrados
Impacto
Denunciantes anônimos, vítimas e pessoas citadas em denúncias ao Crime Stoppers canadense nos últimos 25 anos. A CBC contabiliza mais de 1,5 milhão de denúncias de mais de 60 capítulos, cerca de metade com dados pessoais. Só o capítulo de Toronto teve 176.859 denúncias e 14.973 nomes nos dados roubados, segundo a fornecedora. Também houve exposição nos EUA, incluindo programas escolares como o SafeVoice de Nevada. Na prática, o canal anônimo perdeu a confiança: o capítulo de Toronto parou de receber denúncias, e a CBC contabiliza 35 agências ou programas com suspensão de uso ou parceria. O RCMP afirmou que o vazamento pode comprometer a segurança de denunciantes, citados e policiais. A fornecedora diz não ter evidência de fraude ou roubo de identidade. Não encontrei confirmação de retaliação concreta.
Enlaces técnicos
Recomendaciones
- Organizações que usam plataformas de denúncia de terceiros: exija MFA resistente a phishing para todas as contas de cliente, revise logins e exportações de volume anormal desde 11/2025, e reinicie senhas e tokens de API.
- Aplique redação automática de PII na entrada das denúncias e política de retenção com expurgo, em vez de guardar submissões originais por décadas. A CBC aponta retenção e dados não redigidos como parte do dano.
- Contrate fornecedores com cláusulas de notificação de incidente com prazo curto, direito de auditoria, inventário de quais registros seus estão no ambiente e obrigação de entregar o conteúdo afetado ao cliente. Toronto diz que não recebeu o conteúdo das denúncias roubadas.
- Equipes de segurança de polícia e ONGs: faça avaliação de risco individual para denunciantes e pessoas citadas nos registros afetados e defina canal de contato protegido. Considere que a notificação em massa pode ser inviável se o sistema não guarda identidade.
- Quem recebe contato inesperado citando detalhes de uma denúncia real deve tratá-lo como possível engenharia social, e não confirmar nada por canal não verificado. A CBC aponta que esses detalhes podem servir para ganhar confiança.
Lagunas de inteligencia
Lo que aún no sabemos. Un informe que no declara sus huecos está vendiendo, no analizando.
Número de pessoas afetadas, por país e por programa: a Navigate360 só entregou contagens por cliente. Um aviso público com números, ou os relatórios do OPC e de autoridades dos EUA, resolveria.
Se a contagem de mais de 1,5 milhão de denúncias canadenses coincide com a da fornecedora: depende de a Navigate360 ou a Canadian Crime Stoppers Association divulgar o número por capítulo.
Vetor técnico real: o login roubado é confirmado, mas a exploração posterior de vulnerabilidade é só alegação. Um relatório forense da Navigate360 ou do OPC esclareceria.
Se existe mesmo o recurso interno de rastreio de IP de denunciantes: só a Navigate360 ou o resultado da investigação podem confirmar ou negar.
Por que os dados de 25 anos estavam retidos sem redação: depende da apuração do OPC e de contratos entre capítulos e fornecedora.
Se houve uso malicioso ou retaliação: precisa de registros de polícia ou de relatos verificados de denunciantes.
Quem responde legalmente pelos capítulos sem fins lucrativos: depende de reforma legal ou de ação de outro regulador, pois o OPC já disse que a PIPEDA em regra não os alcança.
Identidade e motivação do ator além do manifesto hacktivista: nenhuma fonte independente a estabelece.
Fuentes y evaluación
Notación Admiralty (estándar NATO, usado por CERT-EU y OpenCTI): la letra evalúa la confiabilidad de la FUENTE (A completamente confiable a F no evaluada); el número evalúa la credibilidad de la INFORMACIÓN (1 confirmada a 6 no juzgable). Ambas dimensiones se evalúan de forma independiente.