Vazamento Massivo de Dados da Vivo:
557.892 Contas Expostas

O que aconteceu?

Na tarde de sexta-feira, 6 de março de 2026, a empresa de inteligência de ameaças VECERT Analyzer emitiu um alerta urgente nas redes sociais: o grupo hacker VFVCT — sigla para V For Vendetta Cyber Team — havia divulgado publicamente uma base de dados contendo 557.892 contas de clientes da Vivo Brazil, uma das maiores operadoras de telecomunicações do Brasil. ^[1]

De acordo com o relatório publicado pelo Dark Web Informer, o incidente foi registrado às 17h12 UTC e classificado como de severidade alta. Os dados foram disponibilizados gratuitamente para download em formato CSV e LOG na open web — não apenas na dark web — tornando o acesso trivial para qualquer agente malicioso. ^[2]

O atacante individual identificado na operação é conhecido pelo codinome D2VY, membro do V For Vendetta Cyber Team. A base de dados cobre atividade recente entre 2023 e 2026, proveniente da infraestrutura da Brazil Telecom, e inclui endereços de e-mail, números de telefone e senhas — estas últimas em texto simples ou já quebradas (cracked). ^[2]

Quem é o VFVCT?

O grupo V For Vendetta Cyber Team (VFVCT) tem histórico documentado de ataques contra instituições financeiras e grandes corporações da América Latina. O nome é uma referência ao personagem V, símbolo do anarquismo popularizado pela obra de Alan Moore e pelo filme de 2005. Segundo análise da RendaGeek, o grupo apresenta "rastros digitais que indicam relação direta com invasões anteriores a sistemas corporativos da Vivo". ^[3]

A VECERT Analyzer, em um segundo comunicado publicado logo após o alerta inicial, revelou que este incidente não é isolado: a empresa detectou mais de 26 incidentes distintos ligados à infraestrutura da Vivo desde 2023, incluindo falhas em APIs e portais de autenticação explorados tanto por grupos organizados quanto por bots automatizados. ^[4]

Que dados foram expostos?

Amostras redigidas (com dados parcialmente ocultados) foram publicadas pelo próprio agente de ameaça para demonstrar a legitimidade do vazamento. Com base na análise do Dark Web Informer e nas informações divulgadas pela VECERT, as três categorias de dados comprometidos são: ^[2]

A presença de senhas em texto simples ou já quebradas é o elemento mais preocupante deste vazamento. Quando combinadas com e-mails, essas credenciais podem ser utilizadas em ataques de credential stuffing — técnica em que os atacantes testam automaticamente os pares e-mail/senha em dezenas de outros serviços populares (bancos, redes sociais, e-commerce) na esperança de que o usuário reutilize a mesma senha. ^[5]

Histórico de incidentes da Vivo

Este não é o primeiro — nem o segundo — incidente de segurança envolvendo dados de clientes da Vivo. A operadora acumula um histórico preocupante de falhas na proteção de dados pessoais:

Em setembro de 2020, o LeakedSource documentou um vazamento de 32,4 milhões de registros com nome e número de telefone de clientes da Vivo Telecom Brazil. ^[6]Em fevereiro de 2021, o Ministério da Justiça notificou as quatro grandes operadoras — Vivo, Claro, Tim e Oi — após a exposição de dados de aproximadamente 103 milhões de contas de celular. Somente da Vivo foram atribuídos 57,2 milhões de registros, incluindo RG, CPF, data de nascimento, e-mail, endereço e detalhes de fatura. ^{[7] [8]}

O portal Meu Vivo também foi alvo de uma falha de segurança confirmada pela própria empresa, que expôs nome completo, endereço, RG, CPF, e-mail e número de celular de clientes. ^[9]Em 2022, a Vivo foi condenada judicialmente a pagar R$ 10.000 de indenização por negligência na proteção de dados, após compartilhar informações de um cliente com terceiros sem autorização. ^[10]

O padrão recorrente de incidentes — agora com mais de 26 casos detectados desde 2023 segundo a VECERT — levanta questões sérias sobre a maturidade dos controles de segurança da infraestrutura da operadora. ^[4]

A postura da Vivo e as obrigações legais

Até a data de publicação deste artigo (9 de março de 2026), a Vivo não emitiu nenhum comunicado oficial sobre o incidente. Não há nota no site institucional, no perfil @vivobr no X (Twitter), nem em grandes portais de notícias. ^[5]

Esse silêncio contrasta diretamente com as obrigações impostas pela Lei Geral de Proteção de Dados (LGPD — Lei nº 13.709/2018). A norma exige que o controlador de dados notifique a Autoridade Nacional de Proteção de Dados (ANPD) no prazo de 3 dias úteis após tomar conhecimento de um incidente de segurança que possa acarretar risco ou dano relevante aos titulares. ^[11]O descumprimento pode resultar em sanções administrativas que incluem advertência, multa de até 2% do faturamento (limitada a R$ 50 milhões por infração) e publicização da infração.

Independentemente da confirmação ou negação por parte da Vivo, o princípio da precaução recomenda que todos os clientes da operadora adotem imediatamente as medidas de proteção descritas abaixo.

Análise: por que isso importa para empresas?

Incidentes como este não afetam apenas consumidores individuais. Empresas que utilizam linhas corporativas da Vivo, cujos colaboradores têm contas pessoais na operadora, ou que dependem de autenticação via SMS (como códigos de verificação) estão igualmente expostas a riscos derivados deste vazamento.

O ataque de SIM swap — em que criminosos convencem a operadora a transferir o número de telefone da vítima para um chip sob seu controle — torna-se muito mais fácil quando o atacante já possui nome, e-mail e número de telefone da vítima. Com o número sequestrado, é possível contornar o 2FA baseado em SMS de praticamente qualquer serviço, incluindo contas bancárias e sistemas corporativos.

Para organizações, recomendamos adicionalmente: revisar as políticas de autenticação de colaboradores que utilizam linhas Vivo, substituir 2FA por SMS por aplicativos autenticadores (Google Authenticator, Microsoft Authenticator) ou chaves de hardware (YubiKey), e reforçar os treinamentos de conscientização sobre engenharia social com foco específico neste incidente.

Conclusão

O vazamento de dados da Vivo em março de 2026 é mais um capítulo de uma história que se repete há anos no setor de telecomunicações brasileiro. A combinação de um histórico de mais de 26 incidentes desde 2023, a ausência de comunicado oficial da empresa e a disponibilidade pública e gratuita dos dados cria um cenário de risco elevado para centenas de milhares de brasileiros.

A SUPRYX reforça que a prevenção é sempre mais barata e eficaz do que remediar problemas após uma invasão. Se você ou sua empresa precisam de uma avaliação de maturidade em segurança da informação, gestão de vulnerabilidades ou proteção de endpoints, entre em contato com nossa equipe.