LATAM confirma acesso indevido ao Latam Pass — escala oculta

A LATAM Airlines Brasil confirmou em nota oficial, em 19 de agosto de 2026, que identificou acesso não autorizado a dados de membros do Latam Pass. A detecção ocorreu em 29 de julho — 21 dias antes da divulgação pública. A empresa afirma que o intervalo foi necessário para concluir a análise técnica e identificar exatamente quais clientes e categorias de dado foram atingidos antes de comunicar.

Os dados expostos formam um perfil pessoal e financeiro amplo: nome completo, data de nascimento, e-mail, telefone, endereço residencial, número de sócio e categoria no Latam Pass, saldo de milhas e pontos qualificáveis, além de dados parciais de cartão de crédito (seis primeiros e quatro últimos dígitos, bandeira, nome do titular e data de validade). A LATAM afirma que número completo do cartão, CVV e senhas não foram expostos — afirmação que, até agora, não foi contestada por evidência externa, mas tampouco verificada por auditor independente.

O vetor técnico não foi descrito publicamente em detalhe pela empresa, mas as medidas de resposta — bloqueio de IPs suspeitos e correção de código-fonte — são consistentes com uma falha de controle de acesso em endpoint de consulta, possivelmente do tipo IDOR (Insecure Direct Object Reference) ou scraping automatizado com credenciais válidas. Não há relato de ransomware, exfiltração de banco de dados completo ou negociação de resgate.

Nenhum ator reivindicou o ataque publicamente. Fóruns de vazamento como BreachForums ou Telegram não apresentavam, até o fechamento deste relatório, publicações relacionadas a esta base. Isso pode indicar ataque silencioso por ator que preferiu não se expor, ou acesso ainda em análise pela própria LATAM.

O número de afetados é a lacuna central do caso. A empresa menciona apenas 'parcela limitada' dos membros, sem qualquer referência quantitativa. O Latam Pass totalizava 56 milhões de membros globais no segundo trimestre de 2026, com cerca de 26 a 28 milhões no Brasil. Jornalistas do Poder360 e Panrotas questionaram a empresa diretamente — nenhum obteve resposta com número. Esse silêncio é, em si, dado relevante: ou o número é constrangedor, ou a análise forense ainda não foi concluída.

Sob a LGPD e a Resolução CD/ANPD n.º 2/2022, incidentes de alto risco devem ser reportados à ANPD em dois dias úteis. A LATAM afirma ter notificado a autoridade, mas o prazo real de comunicação não foi divulgado. A ANPD, por sua vez, não se manifestou publicamente até o momento de publicação deste relatório — silêncio que pode indicar que a análise ainda está em curso, não que o caso foi encerrado.

O risco concreto para os afetados não é de fraude direta de cartão (o CVV e número completo não foram expostos), mas de engenharia social de alta qualidade: um atacante com nome, e-mail, telefone, categoria de cliente e saldo de milhas pode montar comunicações falsas extremamente convincentes para induzir a vítima a fornecer credenciais ou autorizar transferências de pontos. A LATAM reconheceu esse risco e alertou os clientes a redobrar atenção com mensagens e ligações suspeitas.

Clientes do Latam Pass que receberam notificação individual da empresa tiveram dados pessoais (incluindo identificadores de programa de fidelidade e metadados de cartão de crédito) acessados por terceiros não autorizados. O impacto financeiro direto é limitado pela ausência de CVV e número completo de cartão, mas o risco de fraude por engenharia social é concreto e elevado: a combinação de dados cadastrais + saldo de milhas + parcial de cartão permite ataques de vishing e phishing personalizados de alta credibilidade. O volume total de afetados segue desconhecido. A ANPD recebeu notificação formal, o que pode resultar em investigação administrativa e eventual sanção caso o prazo de reporte tenha sido descumprido.