O serviço Have I Been Pwned (HIBP), mantido pelo pesquisador de segurança Troy Hunt, adicionou em 7 de outubro de 2026 um vazamento de dados do Double Counter, serviço de proteção e contagem de membros para servidores do Discord, afetando cerca de 274,9 mil contas. Segundo o HIBP, a violação é atribuída a uma vulnerabilidade na ferramenta de análise de dados Metabase, usada internamente pelo serviço. Os dados expostos incluem endereços de e-mail, nomes de usuário, nomes e localizações geográficas de usuários; em um número menor de registros, referentes a assinantes pagantes processados via Stripe, também foram expostos nome, país e código postal associados ao pagamento (sem números de cartão).
Por que isso importa para uma PME brasileira: o caso ilustra um risco comum a qualquer negócio que usa ferramentas de terceiros para analisar dados de clientes — painéis de business intelligence, ferramentas de analytics ou plugins conectados diretamente ao banco de dados de usuários. Mesmo que o produto principal da empresa seja seguro, uma falha em uma ferramenta interna conectada a essa base, como o Metabase neste caso, pode expor os mesmos dados de clientes que a empresa jurou proteger. Para uma PME brasileira que mantém comunidades no Discord, usa bots de terceiros para gerenciar clientes ou conecta planilhas e painéis de BI a dados de assinantes, o alerta é direto: a superfície de risco de dados pessoais não termina no seu próprio sistema — ela inclui todo fornecedor e ferramenta que tem acesso a essas informações.
O que fazer agora: faça um inventário das ferramentas internas de analytics, BI ou automação (Metabase e similares) conectadas a bancos de dados com informações de clientes, e confirme se estão atualizadas e não expostas à internet sem necessidade. Se a empresa ou sua comunidade usa o Double Counter ou bots similares no Discord, verifique se o e-mail ou domínio da empresa aparece no vazamento em haveibeenpwned.com e oriente a equipe a desconfiar de e-mails ou mensagens que citem dados pessoais obtidos nesse incidente, um padrão comum em golpes de phishing pós-vazamento. De forma mais ampla, antes de conectar dados de clientes a qualquer ferramenta de terceiros, avalie as práticas de segurança do fornecedor — isso já é parte do dever de cuidado esperado pela LGPD na escolha de operadores de dados.
Fonte primária: registro do vazamento do Double Counter no Have I Been Pwned (adicionado em 07/10/2026).
