Dodo Pizza confirma invasão; 68 milhões alegados, zero verificados

A Dodo Pizza confirmou o acesso indevido a seus sistemas de TI em 27–28 de setembro de 2026, admitindo que atacantes podem ter acessado dados pessoais de 'uma parte' de sua base de clientes. A empresa notificou o Roskomnadzor, bloqueou o acesso e abriu investigação interna. O comunicado da própria vítima — fonte A — eleva o confidence para 'confirmed'. O verdict, porém, é 'inflated' e não 'real' puro: a empresa deliberadamente não confirmou o volume alegado pelo atacante.

O ator que reivindica o ataque se identifica como DataSuckers. O grupo operou via canal Telegram e declarou motivação financeira explícita, não política — algo incomum na paisagem de ataques a entidades russas, onde grupos hacktivistas frequentemente reivindicam autoria por razões geopolíticas. A reivindicação de 68 milhões de registros e 2–3 TB de dados, ofertada a US$ 100.000, segue o padrão clássico de extorsão com publicação parcial como ameaça de pressão.

O número 68 milhões merece ceticismo estrutural. A Dodo Pizza, fundada em 2011, opera cerca de 1.500 unidades em 28 países e reportou receita sistêmica de US$ 1,8 bilhão em

2025. Para que 68 milhões de registros únicos de clientes existissem, seria necessário que cada habitante adulto da Rússia (cerca de 110 milhões) tivesse feito pelo menos um pedido — e que a cobertura internacional dobrasse o número. Não há dado público sobre o tamanho da base cadastrada da Dodo Pizza que sustente ou refute esse volume. O grupo DataSuckers tem histórico de alegações hiperinfladas: no caso da operadora de turismo Tez Tour, afirmou ter extraído 395,5 milhões de registros — número que observadores russos qualificaram publicamente como 'parece fake' dada a ausência de razão para um operador de turismo manter tal volume.

A fonte 'Baza' — canal Telegram descrito como próximo aos serviços de segurança russos — reproduziu a alegação dos 68 milhões sem verificação própria. Isso não eleva a credibilidade da informação: Baza funciona como amplificador, não como apurador independente. O The Record (Recorded Future News) e a Meduza, ambos com histórico sólido de apuração, foram cuidadosos em registrar que os números 'não puderam ser verificados independentemente'.

Os dados potencialmente expostos — nome, endereço, e-mail, telefone, data de nascimento e histórico de pedidos de até 15 anos — têm alto valor operacional para phishing direcionado e engenharia social. Mesmo que o volume real seja uma fração dos 68 milhões alegados, o perfil de risco para os clientes afetados é concreto. A ausência de dados de pagamento, confirmada pela empresa, é o principal fator atenuante: a Dodo Pizza afirma não armazenar dados de cartão nos sistemas comprometidos, o que é consistente com a arquitetura de seu sistema proprietário Dodo IS.

Um ângulo que nenhuma cobertura desenvolveu adequadamente: a Dodo Pizza tem sede formal em Dubai (UAE) e opera em 28 países. A notificação ao Roskomnadzor cobre a operação russa, mas não endereça obrigações de notificação em outras jurisdições — União Europeia (RGPD, onde opera na Polônia, Bulgária, Eslováquia, entre outros), Cazaquistão (onde DataSuckers especificamente menciona usuários afetados), e possivelmente outros. A ausência de qualquer menção a notificações regulatórias fora da Rússia é uma lacuna de governança relevante.

Clientes da Dodo Pizza em até 28 países podem ter tido nome, endereço, e-mail, telefone, data de nascimento e histórico de pedidos expostos. A empresa não divulgou quantos clientes foram de fato afetados. Dados de pagamento não estão entre os potencialmente comprometidos, segundo a empresa. O risco imediato e concreto para usuários é phishing e engenharia social usando dados de identidade combinados com histórico de consumo — um vetor de ataque de alta credibilidade. A Dodo Pizza orientou clientes desconectados automaticamente de suas contas a não se preocuparem, pois isso foi uma medida de proteção.