O serviço Have I Been Pwned (HIBP), mantido pelo pesquisador de segurança Troy Hunt, adicionou em 7 de outubro de 2026 um vazamento de dados da CyrusOne, operadora norte-americana de data centers, afetando cerca de 373,5 mil endereços de e-mail únicos. Segundo o registro do HIBP, a violação ocorreu em agosto de 2026, após uma tentativa de extorsão do tipo "pague ou vazamos" atribuída ao grupo ShinyHunters, que posteriormente publicou os dados que alega ter obtido da empresa — o próprio HIBP trata a origem dos dados como "alegada", já que a CyrusOne não confirmou publicamente o incidente nos termos descritos. Os registros afetados pertencem a clientes, leads comerciais e funcionários da CyrusOne, e incluem nomes, endereços físicos, telefones, empregadores, cargos e tíquetes de suporte técnico; segundo o HIBP, senhas não constam entre os dados expostos.
Por que isso importa para uma PME brasileira: ainda que a CyrusOne seja uma empresa de infraestrutura (data centers) sem presença direta de consumidores no Brasil, o tipo de dado exposto é exatamente o que alimenta ataques de engenharia social contra empresas: nome completo, cargo, empregador e telefone de contato formam a matéria-prima para e-mails de phishing e ligações de "vishing" altamente convincentes, nos quais o criminoso se apresenta com informações reais sobre a vítima para ganhar confiança. Se a sua empresa ou algum fornecedor de TI, hospedagem ou nuvem mantém relação comercial com grandes provedores de infraestrutura como a CyrusOne, funcionários cujos contatos aparecem em leads de vendas ou tíquetes de suporte podem já estar circulando em fóruns de criminosos, prontos para serem usados em golpes direcionados.
O que fazer agora: verifique em haveibeenpwned.com se o e-mail corporativo ou o domínio da sua empresa aparece em algum vazamento, incluindo o da CyrusOne. Oriente a equipe, especialmente quem lida com compras, TI e financeiro, a desconfiar de contatos (e-mail, telefone ou mensagem) que citem informações pessoais corretas como cargo ou nome do gestor — isso não é prova de legitimidade, apenas sinal de que os dados vazaram em algum momento. Reforce também a política de verificação por canal independente para qualquer pedido de troca de senha, dados bancários ou pagamento, já que dados de contato vazados costumam ser combinados com golpes de "vishing" e e-mail corporativo comprometido (BEC).
Fonte primária: registro do vazamento da CyrusOne no Have I Been Pwned (adicionado em 07/10/2026).
