A Vakinha, uma das plataformas de arrecadação coletiva mais conhecidas do Brasil, confirmou que dados cadastrais de usuários foram expostos. O caso veio à tona em 23 de julho de 2026, quando um anúncio publicado em um fórum frequentado por cibercriminosos colocou o conjunto à venda. Quem assinou a postagem, sob o apelido “vakinhaleak2026”, afirma ter chegado a um domínio administrativo da empresa no início de julho usando credenciais comprometidas — um cenário que costuma envolver malware do tipo infostealer, capaz de roubar senhas salvas no navegador de um funcionário.
O que preocupa nesse vazamento não é a presença de senhas, e sim a combinação de campos. Estão no pacote nome completo, CPF, e-mail, telefone, saldo disponível para saque, valor líquido já recebido, contribuições registradas e a data de criação do cadastro. Ou seja: além da identificação civil da pessoa, há uma indicação de quanto dinheiro passou pela conta dela. É exatamente o tipo de informação que transforma um golpe genérico em uma abordagem convincente — o criminoso liga citando o valor exato de uma arrecadação e ganha credibilidade instantânea com a vítima.
A empresa contesta a dimensão anunciada. O criminoso fala em cerca de 18 milhões de registros, mas o diretor Luiz Gheller afirmou que a plataforma não possui esse volume de cadastros e que o número estaria inflado por duplicidades. A Vakinha declarou que “não houve prejuízo financeiro ou à segurança dos usuários” e que nenhuma ação é necessária por parte de quem usa o serviço. A companhia diz ter identificado o incidente em 14 de julho — uma semana depois da data que o próprio invasor aponta como a do acesso — e informou ter notificado a Autoridade Nacional de Proteção de Dados (ANPD), procedimento previsto na LGPD.
Para o leitor brasileiro, o episódio repete um padrão que já apareceu em outros casos recentes no país: a empresa reconhece a exposição, minimiza o impacto porque senhas não vazaram e o usuário fica com o prejuízo silencioso de ter CPF e telefone circulando em pacotes vendidos livremente. Vale lembrar que a ausência de senha não neutraliza o risco — o dado que realmente sustenta o golpe é o contexto. Na prática, quem já usou a plataforma deve tratar com desconfiança qualquer contato que mencione doações, saldos ou “liberação de saque”, especialmente por WhatsApp e telefone, e evitar clicar em links de cobrança recebidos por mensagem. Ativar a verificação em duas etapas nas contas de e-mail e nos bancos é o passo mais barato e eficaz nesse momento.
