A Starbucks foi listada em um fórum de cibercrime por um ator de ameaça usando o nome de usuário "anes2010", que afirma estar vendendo um banco de dados contendo 176 milhões de registros únicos de usuários, supostamente extraídos em junho de 2026. A Starbucks não confirmou publicamente o incidente de segurança alegado, e a alegação não foi verificada independentemente.
O que mudou agora
Como resultado, tanto a violação relatada quanto o conteúdo do conjunto de dados devem ser tratados como não confirmados no momento da escrita. O ator de ameaça supostamente anunciou o banco de dados alegado da Starbucks por 400 dólares e supostamente forneceu registros de amostra para apoiar a venda.
Vendedores de cibercriminosos frequentemente compartilham amostras para fazer parecerem credíveis as alegações de violação. No entanto, as amostras sozinhas não estabelecem que um conjunto de dados inteiro é genuíno, atualizado ou obtido diretamente da organização nomeada.
Impacto e alcance
De acordo com um post compartilhado pela conta de inteligência de ameaças Intel and Breaches, a listagem no fórum afirma que o banco de dados alegado contém endereços de e-mail, nomes de usuário, hashes de senha, detalhes de país e cidade, datas de criação da conta, datas de última atividade, status da conta e status de verificação de e-mail.
O ator alega ainda que o banco de dados contém detalhes do cartão Starbucks e saldos, configurações de recarga automática, lojas preferidas e preferências de bebidas. Os registros alegados também podem incluir aniversários, pontos de recompensa Starbucks, estrelas totais, gastos totais e informações de moeda.
Se for genuíno, essa combinação de dados de conta, fidelidade e pessoais pode apresentar riscos substanciais de privacidade e fraude para os clientes afetados. Hashes de senha não são necessariamente senhas em texto puro. No entanto, o risco real depende do algoritmo de hash de senha, sua configuração, a presença de sais únicos e os controles de segurança da organização.
Riscos associados
Métodos de hash fracos ou desatualizados podem permitir que os atacantes tentem quebrar senhas offline. Endereços de e-mail e dados detalhados do programa de fidelidade também podem apoiar campanhas de phishing altamente direcionadas. Os atacantes podem enviar mensagens fraudulentas sobre pontos de recompensa, suspensões de conta, saldos do cartão Starbucks, atualizações de pagamento, alterações de recarga automática ou verificação de conta para roubar credenciais ou informações de pagamento.
Usuários que reutilizam senhas em vários sites enfrentam maior risco se os registros alegados forem confirmados e as senhas eventualmente forem expostas ou quebradas. O credential stuffing pode permitir que os atacantes testem combinações de nome de usuário e senha reutilizadas contra contas de e-mail, bancos, varejo e redes sociais.
Medidas de mitigação recomendadas
Os clientes da Starbucks devem ter cautela com e-mails, mensagens SMS ou chamadas inesperadas que afirmam que uma ação urgente é necessária em sua conta Starbucks. Os usuários devem evitar clicar em links em mensagens não solicitadas e, em vez disso, abrir o aplicativo móvel oficial da Starbucks ou visitar o site oficial da empresa diretamente.
Os clientes devem usar uma senha única e forte para sua conta Starbucks e evitar reutilizar essa senha em qualquer outro serviço. Eles também devem monitorar saldos do cartão Starbucks, atividade de recompensas, métodos de pagamento armazenados e alterações no perfil da conta em busca de atividade suspeita.
O que os CISOs devem fazer imediatamente
Embora a violação não tenha sido confirmada, a escala alegada (176 milhões de registros) exige atenção. Monitore a dark web e fóruns de cibercrime por menções à Starbucks. Prepare comunicações de crise para clientes caso a violação seja confirmada. Revise os controles de segurança de terceiros que podem ter acesso a dados de clientes.
Perguntas frequentes
A Starbucks confirmou a violação? Não. A autenticidade, origem e escopo completo do conjunto de dados alegado permanecem desconhecidos.
Devo mudar minha senha? Se você reutiliza senhas, sim. Use uma senha única para sua conta Starbucks.
Como saber se meus dados foram vazados? Aguarde confirmação oficial ou verifique serviços de monitoramento de violações de dados.