Wesco confirma acesso ao CRM — mas minimiza 2,6 mi de registros alegados

A Wesco International — distribuidora B2B de grande porte com receita projetada de US$ 25,9–26,3 bilhões para 2026 — confirmou em 11/08/2026 que investiga um incidente cibernético restrito ao seu ambiente de CRM em nuvem. A declaração oficial, feita pela VP de Comunicações Corporativas Jennifer Sniderman à BleepingComputer, afirma que a empresa trabalhou com seu fornecedor de CRM e 'não acredita que haja risco a dados sensíveis'. A empresa informou ainda não haver disrupção operacional, nem evidência de ransomware ou malware nos sistemas internos de TI.

A ExfilSquad reivindica a exfiltração de 2,6 milhões de registros contendo PII de clientes e funcionários, dados de conta e contato, perfis de usuário de CRM, identificadores de crédito e negócio, metadados de autenticação e informações de acesso. O grupo publicou os dados em torrent em 07/08/2026 após o fracasso das negociações, e formalizou a publicação no DLS em 11/08/2026. Nenhuma fonte independente verificou a contagem de registros; o volume de 40 GB foi reportado consistentemente por plataformas de monitoramento (Ransomware.live, BreachSense), mas volume em bytes não valida contagem de linhas.

O vetor técnico mais sustentado pela evidência disponível é a misconfiguration de portais Microsoft Power Pages conectados ao Dataverse — padrão documentado pela VenariX em 11 das 15 vítimas iniciais da ExfilSquad. Neste modelo, o papel 'Anonymous Users' recebe permissões excessivamente amplas sobre tabelas do Dataverse, tornando os dados acessíveis via Web API (_api) sem autenticação. A VenariX encontrou estruturas consistentes com Dataverse nas amostras das 11 vítimas analisadas. A Wesco não confirmou nem refutou este vetor; a empresa 'pode estar usando Microsoft Dynamics 365', segundo a BleepingComputer, mas isso não foi confirmado oficialmente. Não há CVE associado: o problema é de configuração, não de vulnerabilidade de software.

Há uma contradição relevante entre o que a Wesco admite e o que o ator alega: a empresa restringe o incidente ao 'CRM em nuvem' e nega risco a dados sensíveis, mas o dump alegado inclui metadados de autenticação e identificadores de crédito/negócio — categorias que, a depender de como o CRM estava configurado, podem ser altamente sensíveis. A empresa não detalhou quais categorias de dados estavam no ambiente afetado nem qual o volume real. Esta lacuna é o ponto mais relevante para avaliação de risco regulatório.

A ausência de um Form 8-K específico sobre este incidente cibernético na SEC (os 8-Ks localizados tratam de emissão de notas sênior e troca de CFO) indica que, até a data deste relatório, a Wesco não avaliou formalmente o evento como 'material' sob a regra de divulgação de incidentes cibernéticos da SEC (Item 1.05 do 8-K, vigente desde dezembro de

2023) — ou a avaliação de materialidade está em curso. Se os dados de clientes confirmados forem substanciais, a obrigação de notificação pode surgir.

A ExfilSquad é um grupo sem histórico anterior documentado, surgido em 26/07/2026 com 15 vítimas simultâneas. Não há atribuição de origem ou afiliação por CISA, FBI, Mandiant ou equivalentes. O modelo operacional — varredura de portais expostos, sem malware, com deadline único para todas as vítimas — é consistente com campanhas automatizadas de coleta em superfícies de ataque SaaS/low-code, não com intrusão dirigida. Isso reduz o risco de movimento lateral em redes internas, mas não elimina o risco de uso dos dados exfiltrados para phishing, engenharia social ou fraude.

O impacto confirmado circunscreve-se ao ambiente de CRM em nuvem da Wesco; não houve disrupção operacional relatada. O dado alegadamente exfiltrado — se confirmado — exporia PII de clientes e funcionários, metadados de autenticação e identificadores de crédito/negócio a um grupo que já distribuiu o material via torrent e DLS onion, tornando a contenção da disseminação inviável. A Wesco opera em setores críticos (elétrico, comunicações, utilidades, governo), e seus dados de CRM tendem a incluir informações de contato e contratos de parceiros de cadeia de suprimentos — exposição com potencial de ser explorada em ataques de Business Email Compromise (BEC) contra terceiros. Escritórios de advocacia já iniciaram investigação de class action (ClassAction.org), o que sinaliza pressão legal independente da confirmação regulatória.