O serviço Have I Been Pwned (HIBP), mantido pelo pesquisador de segurança Troy Hunt, adicionou em 30 de setembro de 2026 um vazamento de dados da Medela, fabricante suíça de equipamentos médicos, afetando cerca de 423,9 mil contatos. Segundo o HIBP, o incidente foi obra do grupo de extorsão ShinyHunters, que invadiu sistemas da empresa e ameaçou publicar os dados caso um resgate não fosse pago — o chamado esquema "pague ou vazamos" (pay-or-leak), que dispensa a etapa de criptografar os arquivos usada pelo ransomware tradicional. Os dados publicados incluem nomes, e-mails, endereços físicos, telefones, cargos, empregadores e tickets de suporte de profissionais de saúde, funcionários e contatos comerciais da empresa.
Por que isso importa para uma PME brasileira: o modelo "pague ou vazamos" vem crescendo porque é mais rápido e barato para o criminoso do que o ransomware clássico — não exige derrubar sistemas, apenas copiar bancos de dados de CRM, suporte ou RH e ameaçar publicá-los. Qualquer PME que armazene contatos de clientes, leads ou fornecedores (nome, e-mail, telefone, cargo, empresa) é um alvo em potencial, e esse tipo de dado é justamente o que compõe a maioria das bases de CRM e de atendimento ao cliente usadas no dia a dia. Sob a LGPD, o vazamento de dados pessoais de clientes ou contatos comerciais pode configurar incidente de segurança sujeito a comunicação à ANPD e aos titulares, dependendo do risco aos direitos e liberdades das pessoas afetadas.
O que fazer agora: verifique se o domínio da sua empresa aparece em vazamentos no Have I Been Pwned (haveibeenpwned.com/DomainSearch) e monitore alertas de novos vazamentos envolvendo o e-mail corporativo. Revise quem tem acesso a bancos de CRM, help desk e RH, limite esse acesso ao mínimo necessário e mantenha backups isolados desses sistemas. Tenha um plano de resposta a incidentes definido antes de precisar dele: a quem notificar, em quanto tempo, e quando a comunicação à ANPD é exigida pela LGPD — decidir isso durante um ataque custa tempo que normalmente não sobra.
Fonte primária: registro do vazamento da Medela no Have I Been Pwned (adicionado em 30/09/2026).
