A fabricante e varejista americana de roupas de trabalho Carhartt aparece no centro de um grande incidente de segurança envolvendo dados de aproximadamente 12,9 milhões de contas. As informações foram publicadas pelo grupo de extorsão ShinyHunters e posteriormente analisadas pelo serviço Have I Been Pwned (HIBP), que incluiu o vazamento em sua base.
O episódio ganhou repercussão após os criminosos alegarem ter obtido mais de 50 GB de informações da empresa. Inicialmente, o conjunto de dados parecia conter quase 25 milhões de endereços de e-mail únicos, número que sugeria um incidente quase duas vezes maior.
Uma investigação mais detalhada, porém, revelou uma situação incomum: milhões dos registros presentes no material não correspondiam a pessoas reais.
Depois da limpeza e validação do conjunto de informações, o pesquisador Troy Hunt, criador do Have I Been Pwned, chegou a 12.933.413 endereços de e-mail considerados legítimos.
ShinyHunters teria exigido US$ 3,3 milhões
O incidente está relacionado a uma campanha de extorsão do ShinyHunters, grupo conhecido por roubar grandes volumes de informações corporativas e pressionar empresas a pagar para evitar a divulgação pública.
Segundo informações analisadas pelo The Register, o grupo inicialmente teria exigido US$ 3,3 milhões da Carhartt. Depois que as negociações não produziram o resultado esperado pelos criminosos, aproximadamente 50 GB de dados atribuídos à companhia foram publicados em 13 de agosto.
Até o momento das reportagens consultadas, a Carhartt não havia divulgado publicamente uma confirmação detalhada do incidente nem respondido aos questionamentos sobre as conclusões da análise realizada por Troy Hunt.
Por isso, existe uma distinção importante: o conjunto de dados foi publicado pelo ShinyHunters e possui fortes indícios técnicos de origem nos sistemas da empresa, mas parte das informações sobre a invasão continua baseada na análise do material vazado e nas alegações dos próprios criminosos.
Quais dados foram expostos?
Segundo o Have I Been Pwned, o material atribuído à Carhartt contém informações pessoais suficientes para aumentar significativamente o risco de golpes direcionados.
Entre os dados identificados estão nomes, endereços de e-mail, números de telefone e endereços físicos.
Não há indicação, nas análises consultadas, de que senhas em texto simples ou dados completos de cartões de crédito façam parte do conjunto confirmado pelo HIBP.
Ainda assim, a combinação das informações expostas possui valor significativo para criminosos.
Um golpista que conhece o nome completo, endereço residencial, telefone e e-mail de uma pessoa consegue construir mensagens de phishing muito mais convincentes do que alguém que possui apenas um endereço eletrônico.
Em vez de enviar uma mensagem genérica, criminosos podem utilizar informações reais para criar falsas notificações de entrega, problemas com pedidos, cobranças ou solicitações de atualização cadastral.
Quase 25 milhões de e-mails apareceram inicialmente
Um dos aspectos mais interessantes do caso foi justamente a dificuldade de determinar quantas pessoas haviam realmente sido atingidas.
Quando Troy Hunt processou inicialmente o material publicado, sua ferramenta encontrou 24.876.077 endereços de e-mail únicos.
À primeira vista, esse poderia facilmente ter se tornado o número divulgado como quantidade de vítimas.
Mas a análise dos registros começou a revelar inconsistências.
Havia uma quantidade incomum de endereços utilizando determinados domínios .edu e .org, além de distribuições geográficas incompatíveis com o perfil esperado dos clientes da Carhartt.
Outro sinal estranho estava nas datas de nascimento: muitos supostos consumidores apareciam como pessoas nascidas no início dos anos 1900.
A investigação apontou então para a presença de dados gerados artificialmente.
Milhões de registros eram sintéticos
Parte significativa do banco de dados aparentemente estava relacionada ao TPC-DS, conjunto de dados sintéticos utilizado para testes e benchmarks de sistemas de análise de varejo.
Esses registros são construídos para parecer informações de consumidores, mas não representam pessoas reais.
Ao identificar e remover essas entradas artificiais, a quantidade de endereços caiu drasticamente.
A primeira grande limpeza reduziu o conjunto de mais de 24,8 milhões para aproximadamente 13,3 milhões de registros.
Mas a investigação ainda não havia terminado.
Contas duplicadas também inflavam os números
Outro problema estava relacionado a contas internas da própria Carhartt.
Alguns funcionários apareciam com múltiplas versões do mesmo endereço, utilizando domínios diferentes associados ao Microsoft 365.
Havia, por exemplo, variações utilizando os domínios corporativos e endereços onmicrosoft.com.
Essas duplicações adicionavam milhares de registros ao conjunto.
A análise também encontrou aproximadamente 289 mil endereços começando com “deactivate-“, aparentemente relacionados a contas desativadas que continuavam preservadas no sistema.
Outros domínios utilizados para testes também foram identificados e retirados da contagem.
Depois de sucessivas etapas de filtragem, o número finalmente chegou a 12.933.413 contas.
É esse o total atualmente registrado pelo Have I Been Pwned.
83% dos e-mails já haviam aparecido em outros vazamentos
Outro dado interessante revelado pela análise é que aproximadamente 83% dos endereços identificados já estavam presentes anteriormente na base do Have I Been Pwned.
Isso não significa que o incidente seja irrelevante.
Um mesmo endereço pode aparecer em vários vazamentos, mas cada nova exposição pode acrescentar informações diferentes.
Um vazamento antigo pode conter apenas e-mail e senha, enquanto outro pode associar aquele mesmo endereço a nome completo, telefone e endereço residencial.
Quanto mais informações são agregadas, maior pode ser a capacidade dos criminosos de construir um perfil da vítima.
Caso mostra problema na divulgação de números de vazamentos
A diferença entre quase 25 milhões de registros encontrados inicialmente e os 12,9 milhões considerados legítimos também traz uma importante discussão para o setor de cibersegurança.
Números divulgados por grupos criminosos não devem ser automaticamente tratados como quantidade confirmada de vítimas.
O próprio Troy Hunt destacou que os dados precisam ser examinados antes que os números sejam apresentados como fatos.
Bases corporativas podem conter registros duplicados, informações históricas, contas de teste e dados artificiais utilizados para desenvolvimento.
No caso da Carhartt, se apenas o primeiro processamento tivesse sido considerado, a dimensão do incidente teria sido apresentada como praticamente o dobro da estimativa atual.
ShinyHunters mantém histórico de grandes ataques
O ShinyHunters tornou-se um dos nomes mais conhecidos do cenário de extorsão digital.
Ao contrário de operações tradicionais de ransomware, que necessariamente criptografam os sistemas da vítima, grupos modernos frequentemente concentram suas atividades no roubo de informações seguido de ameaça de publicação.
O modelo é relativamente simples: os invasores obtêm acesso ao ambiente corporativo, extraem grandes quantidades de dados e depois exigem pagamento para não divulgá-los.
Caso a organização se recuse, o material pode ser publicado ou oferecido em fóruns criminosos.
A estratégia aumenta a pressão sobre as vítimas porque restaurar backups não resolve o problema. Uma vez copiados pelos invasores, os dados continuam fora do controle da organização.
Dados pessoais podem alimentar novos golpes
Para os consumidores potencialmente atingidos, o principal risco agora pode surgir depois do vazamento.
Informações como nome, telefone, endereço e e-mail são particularmente úteis em ataques de engenharia social.
Criminosos podem utilizar esses dados para tentar se passar pela própria Carhartt, transportadoras, instituições financeiras ou outros serviços.
Por isso, usuários que possuam contas na empresa devem ter atenção redobrada a mensagens que solicitem senhas, pagamentos ou confirmação de informações pessoais.
Também é recomendável evitar reutilizar senhas entre diferentes serviços e habilitar autenticação multifator sempre que disponível.
O usuário pode verificar se seu endereço aparece em vazamentos conhecidos diretamente no Have I Been Pwned.
Incidente deixa uma lição importante para empresas
Além do impacto sobre consumidores, o episódio evidencia um desafio cada vez maior para organizações que acumulam grandes bases de informações.
Não basta proteger os sistemas utilizados atualmente. Empresas também precisam compreender quais informações históricas, contas desativadas, dados de testes e registros internos permanecem armazenados.
Quanto maior o volume mantido, maior pode ser o impacto quando um invasor consegue acessar esse ambiente.
O princípio da minimização de dados — manter apenas as informações realmente necessárias — ganha importância justamente nesse contexto.
Uma base comprometida contendo milhões de registros antigos continua representando risco mesmo que parte daqueles usuários já não tenha relacionamento ativo com a empresa.
Vazamento também mostra por que dados roubados precisam ser verificados
O caso Carhartt apresenta ainda outra lição importante para jornalistas, pesquisadores e empresas de segurança.
Uma publicação realizada por criminosos não deve ser considerada automaticamente uma fonte confiável sobre a dimensão de um ataque.
Neste caso, o arquivo realmente continha milhões de registros aparentemente legítimos, mas estava misturado com uma quantidade gigantesca de informações sintéticas e entradas que não representavam usuários únicos.
A análise reduziu a estimativa praticamente pela metade.
Mesmo depois dessa correção, porém, o resultado continua expressivo: quase 13 milhões de contas aparecem associadas ao vazamento, tornando o incidente um dos episódios relevantes de exposição de dados do varejo registrados em 2026.
Mais do que o tamanho bruto do arquivo publicado pelo ShinyHunters, o principal problema agora está nas informações que parecem realmente pertencer a pessoas: nomes, telefones, endereços físicos e e-mails que poderão permanecer circulando por muito tempo em ambientes criminosos.
