O serviço Have I Been Pwned (HIBP) adicionou, em 7 de outubro de 2026, um registro de vazamento de dados da Angel One, uma das maiores corretoras de valores da Índia. Segundo o HIBP, os dados se referem a uma violação ocorrida em abril de 2023, que a própria Angel One confirmou publicamente em julho de 2024 — dizendo, na ocasião, que o incidente não teve impacto sobre títulos, fundos ou credenciais de clientes. O vazamento afeta cerca de 6,8 milhões de endereços de e-mail únicos, em um total de 7,9 milhões de registros de usuários, e inclui dados sensíveis como nomes, telefones, endereços físicos, datas de nascimento, números de conta bancária, documentos de identidade emitidos pelo governo indiano e informações sobre investimentos e composição de carteira dos clientes. O HIBP atribui a divulgação dos dados a um ator identificado como "cyberbandhu.in".
Por que isso importa para uma PME brasileira: o caso Angel One não envolve uma empresa brasileira, mas ilustra um padrão que se repete e que toda PME deveria levar em conta: vazamentos de anos atrás continuam surgindo e sendo catalogados, às vezes só se tornando públicos (ou chegando ao HIBP) muito depois do incidente original. Se a sua empresa, seus funcionários ou seus clientes já usaram serviços financeiros, de investimento ou de crédito — no Brasil ou no exterior — com o mesmo e-mail corporativo, dados como documento de identidade, telefone e endereço podem estar circulando há anos sem que ninguém tenha percebido. Esse tipo de combinação (nome completo, documento, telefone, endereço e dados financeiros) é justamente a matéria-prima usada em golpes de engenharia social e vishing contra o financeiro e o RH de pequenas empresas — alguém que liga se passando por banco, fornecedor ou até por um órgão fiscalizador, citando dados reais para parecer legítimo.
O que fazer agora: verifique periodicamente em haveibeenpwned.com se os e-mails corporativos da sua empresa — e os pessoais de sócios e funcionários-chave — aparecem em vazamentos, incluindo os mais antigos que só agora foram catalogados. Reforce com a equipe financeira e de atendimento que nenhuma mudança de dados bancários, senha ou forma de pagamento deve ser feita a partir de um contato não solicitado, mesmo que a pessoa cite corretamente nome, documento ou endereço da empresa ou de um cliente — isso prova apenas que os dados vazaram, não que o contato é legítimo. Se a empresa usa ou já usou serviços financeiros de terceiros, revise se ainda há dados sensíveis armazenados nesses serviços que já poderiam ter sido excluídos.
Fonte primária: registro do vazamento da Angel One no Have I Been Pwned (adicionado em 07/10/2026).
