Vazamento no iFood atinge ao menos 1,2 milhão de usuários

Segundo a empresa, o material divulgado recentemente por criminosos teria origem em um incidente de segurança ocorrido em dezembro de 2025. A companhia afirma que o problema foi rapidamente contido e que não houve comprometimento de senhas, dados bancários ou informações financeiras.

Apesar disso, especialistas em segurança digital alertam que a exposição de dados cadastrais pode representar riscos relevantes para os usuários, especialmente em golpes de engenharia social, fraudes financeiras e tentativas de roubo de identidade.

Neste artigo, você entenderá o que aconteceu, quais informações podem ter sido expostas, quais são os riscos envolvidos e como se proteger.

Leia mais:

Vai tirar a CNH? Nova exigência passa a valer a partir de 8 de junho

O que aconteceu no caso do iFood?

O caso ganhou repercussão após criminosos alegarem possuir uma base de dados com informações de milhões de usuários da plataforma.

Inicialmente, os responsáveis pelo anúncio afirmaram ter acesso a registros de até 43,8 milhões de clientes. No entanto, até o momento, não foram apresentadas evidências públicas capazes de comprovar esse volume.

Após investigações internas, o iFood informou que os dados divulgados estariam relacionados a um incidente de segurança identificado em dezembro de 2025.

De acordo com a empresa, o impacto teria atingido cerca de 2% de sua base de usuários, o equivalente a aproximadamente 1,2 milhão de pessoas.

A companhia também declarou que não encontrou evidências que sustentem a alegação de que dezenas de milhões de registros tenham sido comprometidos.

Quais dados podem ter sido expostos?

As amostras analisadas indicam a presença de informações cadastrais e pessoais de usuários.

Entre os dados potencialmente expostos estão:

• Nome completo;
• CPF;
• Endereço de e-mail;
• Número de telefone;
• Histórico de endereços cadastrados;
• Informações relacionadas à conta na plataforma;
• Dados de cadastro.

Em algumas amostras também apareceram cartões parcialmente mascarados, sem exibição completa dos números, códigos de segurança ou datas de validade.

Segundo o posicionamento oficial da empresa, não houve vazamento de:

• Senhas;
• Dados bancários;
• Informações financeiras;
• Registros de pagamento;
• Credenciais de acesso.

Ainda assim, especialistas alertam que dados cadastrais já possuem alto valor para criminosos.

Por que dados pessoais têm valor para criminosos?

Muitos usuários acreditam que apenas informações bancárias representam risco. Na prática, dados pessoais podem ser tão valiosos quanto.

Criminosos frequentemente utilizam informações vazadas para construir perfis detalhados das vítimas e aplicar golpes mais convincentes.

Com nome completo, CPF, telefone e endereço, é possível realizar tentativas de fraude envolvendo:

• Falsas centrais de atendimento;
• Mensagens de phishing;
• Golpes via WhatsApp;
• Falsos contatos bancários;
• Fraudes relacionadas a compras online;
• Abertura irregular de contas ou cadastros.

Quanto mais informações um criminoso possui sobre uma vítima, maior a chance de convencer a pessoa de que a comunicação é legítima.

Exemplo prático

Imagine que um golpista entre em contato informando que houve um problema em uma entrega do iFood.

Se ele souber seu nome completo, endereço e até mesmo o telefone cadastrado, a abordagem parecerá muito mais convincente.

A partir desse ponto, ele pode tentar obter senhas, códigos de autenticação ou informações bancárias.

Entendendo a suposta falha explorada

Os responsáveis pelo anúncio do vazamento alegam que a origem do incidente estaria relacionada a uma vulnerabilidade conhecida como IDOR.

O que é uma falha IDOR?

IDOR é a sigla para “Insecure Direct Object Reference” (Referência Direta Insegura a Objetos).

Trata-se de uma vulnerabilidade em que um sistema permite o acesso a informações sem validar corretamente as permissões do usuário.

Em termos simples, seria como permitir que alguém visualize documentos que deveriam estar disponíveis apenas para usuários autorizados.

Essa é uma falha conhecida no universo da cibersegurança e já esteve presente em incidentes registrados em diferentes organizações ao redor do mundo.

A falha foi confirmada?

Não.

A alegação foi feita pelos supostos responsáveis pelo incidente.

Até o momento, o iFood não confirmou publicamente que uma vulnerabilidade IDOR tenha sido a causa do problema.

Por isso, essa informação deve ser tratada como uma hipótese apresentada pelos envolvidos no caso, e não como um fato comprovado.

Dados pessoais e dados sensíveis são a mesma coisa?

Não.

A distinção é importante e está prevista na Lei Geral de Proteção de Dados (LGPD).

O que são dados pessoais?

São informações capazes de identificar uma pessoa direta ou indiretamente.

Exemplos:

• Nome;
• CPF;
• Telefone;
• E-mail;
• Endereço;
• Dados de localização.

O que são dados sensíveis?

São informações que exigem proteção ainda maior devido ao potencial de discriminação ou prejuízo ao titular.

Entre elas estão:

• Origem racial ou étnica;
• Convicção religiosa;
• Opinião política;
• Dados biométricos;
• Informações de saúde;
• Filiação sindical.

O caso do iFood envolve dados sensíveis?

Pelas informações divulgadas até agora, não há indicação de exposição de dados classificados como sensíveis pela LGPD.

O incidente estaria relacionado principalmente a dados cadastrais e pessoais.

Isso não reduz a gravidade do caso, mas ajuda a dimensionar os riscos envolvidos.

O que diz a LGPD sobre vazamentos de dados?

A Lei Geral de Proteção de Dados estabelece regras para coleta, armazenamento e tratamento de informações pessoais no Brasil.

Quando ocorre um incidente de segurança que possa gerar risco aos titulares dos dados, as empresas devem adotar medidas para:

• Investigar o ocorrido;
• Conter os danos;
• Comunicar autoridades quando necessário;
• Implementar melhorias de segurança.

A autoridade responsável pela fiscalização é a Autoridade Nacional de Proteção de Dados.

Dependendo da gravidade do caso, a ANPD pode abrir procedimentos para avaliar se houve descumprimento das obrigações previstas na legislação.

Como saber se seus dados podem ter sido afetados?

Até o momento, o iFood não divulgou uma ferramenta pública para consulta individual dos usuários potencialmente impactados.

Por isso, recomenda-se acompanhar exclusivamente os canais oficiais da empresa para eventuais atualizações.

Também é importante monitorar:

• E-mails suspeitos;
• Mensagens SMS desconhecidas;
• Contatos inesperados via WhatsApp;
• Solicitações de confirmação de dados pessoais.

Como se proteger após um possível vazamento?

Mesmo que você não tenha confirmação de exposição dos seus dados, algumas medidas são recomendadas.

Troque senhas importantes

Atualize as senhas de:

• E-mail principal;
• Bancos;
• Aplicativos financeiros;
• Redes sociais.

Prefira combinações longas e exclusivas para cada serviço.

Ative a autenticação em dois fatores

A autenticação em dois fatores adiciona uma camada extra de proteção.

Mesmo que alguém descubra sua senha, terá dificuldades para acessar sua conta.

Desconfie de contatos inesperados

Empresas raramente solicitam:

• Senhas;
• Códigos de autenticação;
• Dados bancários completos.

Qualquer pedido desse tipo deve ser tratado com desconfiança.

Monitore movimentações financeiras

Verifique regularmente:

• Extratos bancários;
• Faturas de cartão;
• Histórico de transações.

Quanto mais rápido uma fraude for identificada, maiores são as chances de minimizar prejuízos.

Evite clicar em links desconhecidos

Golpistas costumam aproveitar grandes vazamentos para enviar mensagens falsas.

Antes de clicar em qualquer link, confirme a origem da comunicação.

O que acontece agora?

O caso ainda possui pontos sem resposta.

Existem divergências entre as informações apresentadas pelos criminosos e a versão divulgada oficialmente pelo iFood.

Enquanto a empresa afirma que o incidente conhecido afeta cerca de 1,2 milhão de usuários e remete a um evento ocorrido em dezembro de 2025, os responsáveis pela divulgação dos dados alegam que o volume seria significativamente maior.

Até o momento, não há comprovação independente capaz de confirmar integralmente nenhuma das duas versões em relação ao número total de registros supostamente comprometidos.

O episódio reforça a crescente importância da segurança cibernética em um cenário em que aplicativos de entrega, bancos digitais e plataformas online armazenam grandes quantidades de informações pessoais dos brasileiros.

Conclusão

O vazamento de dados do iFood tornou-se um dos principais casos de segurança digital envolvendo grandes plataformas brasileiras em 2026. Embora a empresa afirme que o impacto esteja limitado a cerca de 1,2 milhão de usuários e que dados financeiros não tenham sido comprometidos, a possível exposição de informações cadastrais já representa riscos relevantes para golpes e fraudes.

Diante desse cenário, usuários devem permanecer atentos a contatos suspeitos, reforçar medidas de segurança em suas contas e acompanhar os comunicados oficiais da plataforma. Casos como esse demonstram que a proteção de dados pessoais se tornou uma das principais preocupações da era digital, exigindo vigilância constante tanto das empresas quanto dos consumidores.