O serviço Have I Been Pwned (HIBP) adicionou nesta terça-feira (20/10/2026) um vazamento de dados da Assurance Retraite, o sistema público de previdência da França, que afetou cerca de 370 mil beneficiários de um programa de assistência, cerca de 70 mil deles com endereço de e-mail exclusivo incluído no vazamento. Segundo o comunicado de incidente da própria organização, referenciado pelo HIBP, os dados expostos incluem nome, data de nascimento, endereço residencial, telefone, e-mail, nível de renda, estado civil, número de identificação da seguridade social francesa (NIR) e dados de contato de familiares ou outras pessoas indicadas pelo beneficiário. O vazamento, ocorrido em setembro de 2024 e só agora tornado público pelo HIBP, foi atribuído pela própria Assurance Retraite a uma conta de parceiro comprometida.

Por que isso importa para uma PME brasileira: o caso é um lembrete de que o elo mais fraco da segurança de uma empresa muitas vezes não está dentro dela, mas em um parceiro ou fornecedor com acesso a sistemas e dados — mesmo um órgão público de grande porte, com recursos de sobra, foi exposto por essa via. Pequenas e médias empresas brasileiras costumam compartilhar dados de clientes e funcionários com escritórios de contabilidade, sistemas de folha de pagamento, CRMs terceirizados e outras ferramentas em nuvem; sob a LGPD, a empresa que coletou o dado continua responsável por ele mesmo quando o incidente acontece do lado do parceiro. Dados sensíveis como renda e documento de identidade, como os expostos neste caso, também elevam o risco de golpes de engenharia social contra as próprias vítimas.

O que fazer agora: mapeie quais fornecedores e parceiros têm acesso a dados de clientes e funcionários da sua empresa, e exija contratualmente que eles adotem medidas básicas de segurança, como autenticação em duas etapas e controle de quem acessa o quê; aplique o princípio do menor privilégio, dando a cada parceiro só o acesso estritamente necessário para prestar o serviço contratado, nunca mais que isso; monitore periodicamente o Have I Been Pwned com os e-mails corporativos da empresa para saber se seus dados apareceram em algum vazamento de terceiros; e inclua no contrato com fornecedores uma cláusula clara sobre prazo e forma de notificação caso eles sofram um incidente envolvendo dados que você compartilhou com eles.

Fonte primária: registro do vazamento da Assurance Retraite no Have I Been Pwned.