A sensação de que não passa uma semana sem um novo ataque hacker tem respaldo nos números. Um levantamento feito pela redação com duas bases públicas de referência mostra que 2026 já é o ano com mais vazamentos de dados divulgados em pelo menos uma década [1], e que o ritmo de falhas exploradas em ataques reais atingiu em setembro e outubro os maiores patamares desde que esse registro passou a existir [2].
Vazamentos: 57% acima da média
A primeira base é o Have I Been Pwned (HIBP), serviço que cataloga vazamentos confirmados e permite a qualquer pessoa checar se o próprio e-mail foi exposto. Entre 2016 e 2025, o HIBP registrou em média 7,2 vazamentos por mês. De janeiro a outubro de 2026, a média saltou para 11,3, alta de 57%. São 113 casos até 3 de novembro, mais do que em qualquer ano inteiro da série — o recorde anterior era de 2016, com 111 [1]. Mantido o ritmo, 2026 deve fechar perto de 135.
Vazamentos divulgados por ano
Casos catalogados pelo Have I Been Pwned, pela data em que vieram a público
Ver dados
| Categoria | Vazamentos (vazamentos) |
|---|---|
| 2016 | 111 |
| 2017 | 79 |
| 2018 | 76 |
| 2019 | 84 |
| 2020 | 77 |
| 2021 | 75 |
| 2022 | 69 |
| 2023 | 97 |
| 2024 | 106 |
| 2025 | 91 |
| 2026* | 113 |
O pior momento foi maio, com 21 vazamentos divulgados, o segundo maior número mensal em dez anos, atrás apenas de julho de 2019, com 23. Outubro ficou 25% acima da média histórica, com 9 casos. Entre os maiores do bimestre estão os da LimeLeads, com 17,8 milhões de contas, do grupo Manchester Airports, com 8,8 milhões, da corretora indiana Angel One, com 6,8 milhões, da McKesson, com 6,4 milhões, e do Chess.com, com 4,7 milhões [1].
Há um contraponto: o número de contas expostas em 2026, cerca de 541 milhões até agora, está bem abaixo do de 2025, que passou de 2,8 bilhões [1]. Ou seja, os vazamentos ficaram mais frequentes, mas menores. Em vez de poucos megavazamentos, o padrão deste ano é um volume constante de incidentes em empresas de todos os portes.
Falhas exploradas: setembro bate recorde
A segunda base é o catálogo KEV, da agência de cibersegurança dos Estados Unidos (CISA), que lista apenas vulnerabilidades com exploração confirmada em ataques reais — não são falhas teóricas, mas portas que criminosos já estão usando para invadir sistemas [2]. Entre 2023 e 2025, a CISA adicionou em média 17,2 falhas por mês. Em 2026, a média subiu para 28,2, alta de 64%.
Falhas exploradas adicionadas por mês em 2026
Novas entradas no catálogo KEV da CISA, comparadas à média de 2023 a 2025
- 2026
- Média 2023–2025
Ver dados
| Categoria | 2026 (falhas) | Média 2023–2025 (falhas) |
|---|---|---|
| jan | 17 | 17,2 |
| fev | 28 | 17,2 |
| mar | 26 | 17,2 |
| abr | 31 | 17,2 |
| mai | 21 | 17,2 |
| jun | 23 | 17,2 |
| jul | 26 | 17,2 |
| ago | 31 | 17,2 |
| set | 43 | 17,2 |
| out | 36 | 17,2 |
A curva acelerou no segundo semestre. Setembro teve 43 falhas novas no catálogo, 2,5 vezes a média e o maior número mensal desde que a lista se estabilizou. Outubro veio logo atrás, com 36. De fevereiro em diante, todos os meses de 2026 ficaram acima da média dos três anos anteriores [2].
Por que está acontecendo
Os números acompanham o que o noticiário de segurança vem mostrando no dia a dia. Pesquisadores e criminosos passaram a usar agentes de inteligência artificial para encontrar e explorar falhas em escala: a vulnerabilidade *sshole, no OpenSSH, foi descoberta por agentes que rodaram cerca de 17,6 mil testes automatizados [3], e a invasão da Chainalysis envolveu técnicas com agentes [4]. Mais falhas encontradas significam mais correções a aplicar e uma janela maior para quem atrasa as atualizações.
No Brasil, o cenário não é diferente. Só na última semana, o Fundo Garantidor de Créditos (FGC) confirmou acesso indevido a dados pessoais [5] e o Mercado Bitcoin suspendeu saques e depósitos após um ataque envolvendo US$ 38 milhões [6]. Nenhum dos dois aparece nas bases usadas neste levantamento, que são concentradas em casos dos Estados Unidos e da Europa, o que sugere que o volume real é ainda maior.
Como o levantamento foi feito
Os vazamentos foram contados pela data em que se tornaram públicos no HIBP, excluindo registros marcados como fabricados, porque muitos casos só são descobertos meses depois de acontecer; os dados vão até 3 de novembro de 2026 [1]. O catálogo da CISA começou em novembro de 2021 e recebeu de uma vez centenas de falhas antigas nos primeiros meses, por isso a comparação de vulnerabilidades usa 2023 a 2025 como período de referência, e não os dez anos completos [2]. As duas bases cobrem sobretudo os Estados Unidos e a Europa.
Para o usuário comum, a recomendação continua a mesma, mas ficou mais urgente: manter celular, computador e aplicativos atualizados, usar senhas diferentes em cada serviço, ativar a verificação em duas etapas e desconfiar de contatos que pedem senhas ou códigos, mesmo quando parecem vir de empresas conhecidas.
Referências
- Have I Been Pwned — Pwned websites — lista de vazamentos catalogados. https://haveibeenpwned.com/PwnedWebsites
- CISA — Known Exploited Vulnerabilities Catalog. https://www.cisa.gov/known-exploited-vulnerabilities-catalog
- Lotm Kernel — Falha no OpenSSH com musl deixa invasor entrar no Alpine Linux usando senha longa. https://kernel.lotmhub.com.br/noticia/falha-no-openssh-com-musl-deixa-invasor-entrar-no-alpine-linux-usando-senha-longa
- Lotm Kernel — Chainalysis admite que ataque com técnicas de agentes expôs dados de todos os usuários. https://kernel.lotmhub.com.br/noticia/chainalysis-admite-que-ataque-com-tecnicas-de-agentes-expos-dados-de-todos-os-usuarios
- Lotm Kernel — FGC confirma acesso não autorizado a dados pessoais e alerta para risco de golpes. https://kernel.lotmhub.com.br/noticia/fgc-confirma-acesso-nao-autorizado-a-dados-pessoais-e-alerta-para-risco-de-golpes
- Lotm Kernel — Mercado Bitcoin suspende saques e depósitos após ataque envolvendo US$ 38 milhões. https://kernel.lotmhub.com.br/noticia/mercado-bitcoin-suspende-saques-e-depositos-apos-ataque-envolvendo-us-38-milhoes