Uma única ligação telefônica foi suficiente para desencadear um dos maiores vazamentos de dados na história dos Países Baixos. No início de fevereiro de 2026, a gigante de telecomunicações holandesa Odido e sua subsidiária de orçamento Ben tornaram-se as últimas vítimas do ShinyHunters, um coletivo de hacking e extorsão notório por usar engenharia social em vez de exploits sofisticados para violar as defesas corporativas. O ataque expôs os registros pessoais de mais de seis milhões de clientes, e a polícia holandesa divulgou agora a voz real do suspeito para identificá-lo.
O que mudou agora
De acordo com os investigadores, um homem de língua neerlandesa entrou em contato com o helpdesk de atendimento ao cliente da Odido nos dias 5 e 6 de fevereiro, utilizando jargão específico de TI em inglês e fingindo ser um colega do departamento de TI. Ele disse ao funcionário que um problema precisava ser corrigido urgentemente, e o trabalhador desavisado concedeu acesso ao que parecia ser um sistema interno legítimo, mas que, na realidade, era uma configuração de captura de credenciais projetada pelos atacantes. Dentro dessa única interação, o ligante capturou um nome de usuário, senha e até um token de autenticação multifator, neutralizando efetivamente uma das principais camadas de segurança da Odido.
Vetor e exploração
Com essas credenciais roubadas em mãos, os atacantes pivotaram para o ambiente de gerenciamento de relacionamento com o cliente (CRM) baseado em Salesforce da Odido, o mesmo sistema usado para registrar e gerenciar interações com clientes. Dois dias depois, cerca de 90 GB de dados abrangendo cerca de 15 milhões de linhas foram exfiltrados silenciosamente através das APIs legítimas do Salesforce, o que significa que a atividade de exportação se misturou ao tráfego normal e autorizado, em vez de disparar alarmes óbvios. A Odido confirmou que o acesso não autorizado ao seu sistema de contato com o cliente ocorreu nos dias 7 e 8 de fevereiro, e que a intrusão foi encerrada assim que foi detectada.
Impacto e alcance
A atualização oficial da Odido coloca o número final de indivíduos afetados em aproximadamente 6,39 milhões, abrangendo tanto clientes ativos quanto inativos da Odido e Ben. Estimativas anteriores de representantes da empresa e relatórios da mídia variavam entre 6,1 milhões e 6,2 milhões de pessoas, enquanto o próprio ShinyHunters afirmou ter exfiltrado perto de 21 milhões de registros, uma figura que provavelmente inclui entradas duplicadas e metadados corporativos internos junto com perfis de clientes. O conjunto de dados roubado incluía nomes completos, endereços residenciais, números de telefone, endereços de e-mail, datas de nascimento, números de clientes, detalhes de contas bancárias IBAN e números de documentos de identificação, como passaportes e carteiras de motorista.
Repercussão e investigação
A Odido manteve que nenhuma senha de conta, registros de chamadas ou dados de faturamento foram comprometidos, embora o ShinyHunters contestasse isso, alegando que senhas em texto puro e arquivos corporativos internos também faziam parte do roubo. O Have I Been Pwned confirmou posteriormente cerca de 6 milhões de endereços de e-mail únicos publicados em quatro lançamentos de dados separados. O ShinyHunters exigiu um resgate de cerca de um milhão de euros para evitar a publicação do conjunto de dados roubados. A Odido recusou-se a pagar, uma decisão que a empresa defendeu posteriormente publicamente, e o grupo respondeu liberando os dados em estágios a partir de 26 de fevereiro, publicando finalmente o cache completo até 1º de março.
Medidas de mitigação recomendadas
Os analistas de segurança apontaram três falhas sistêmicas que permitiram que uma única ligação telefônica se transformasse em um vazamento de dados dessa magnitude: a ausência de verificação de retorno ou verificações fora de banda no helpdesk, acesso excessivamente permissivo que permitiu que uma conta comprometida exportasse em massa todo um banco de dados de clientes e monitoramento inadequado capaz de sinalizar uma transferência de dados de 90 GB como anômala. O ShinyHunters usou táticas de engenharia social baseadas em telefone quase idênticas contra mais de 100 organizações em todo o mundo, incluindo SoundCloud, Crunchbase e Betterment, muitas vezes contornando as proteções de login único sem precisar de uma exploração técnica.
O que os CISOs devem fazer imediatamente
As organizações devem revisar imediatamente seus processos de verificação de identidade para solicitações de suporte técnico, implementando protocolos de confirmação de callback obrigatórios para qualquer solicitação de acesso privilegiado. É crucial auditar os logs de acesso ao Salesforce e outros sistemas críticos para detectar exportações de dados em massa que ocorram fora dos padrões normais de negócio. Além disso, a implementação de monitoramento comportamental de usuários (UEBA) pode ajudar a identificar atividades anômalas, como o uso de credenciais válidas para acessar sistemas em horários incomuns ou de localizações geográficas não habituais.
Perguntas frequentes
Os dados financeiros foram comprometidos? A Odido afirma que não, mas o ShinyHunters alega o contrário. A confirmação final depende da análise forense dos dados publicados. Como os clientes podem se proteger? A polícia holandesa adicionou os e-mails dos clientes afetados à sua ferramenta "Check je hack" para verificação. Os clientes devem monitorar e-mails de phishing e não fornecer informações adicionais por telefone. Qual o papel da LGPD? Embora seja um incidente holandês, empresas com operações no Brasil devem revisar seus contratos de processamento de dados e notificar a ANPD se houver impacto em titulares de dados brasileiros.