Incidente reforça que informações como nome, telefone, endereço, saldo de milhas e dados parciais de cartão podem ser utilizadas em ataques de engenharia social, mesmo sem exposição de senhas ou números completos de cartões
São Paulo, setembro de 2026 – A confirmação de um incidente de segurança envolvendo o LATAM Pass, identificado em 29 de julho de 2026 e divulgado em agosto, reacende o debate sobre os riscos associados à exposição de dados pessoais e sobre como empresas devem agir quando um acesso não autorizado é identificado.
Segundo informações divulgadas pela companhia, puderam ser consultados dados como nome completo, data de nascimento, e-mail, telefone, endereço residencial, número de associado LATAM Pass, categoria e status da conta, saldo de milhas, pontos qualificáveis e informações parciais de cartões.
A empresa informou que senhas, CVV, número completo dos cartões e dados bancários não foram comprometidos. Para a LC SEC, consultoria especializada em cibersegurança e compliance, o episódio reforça que o risco de um incidente não termina quando o acesso indevido é interrompido, pois os dados expostos podem ser utilizados posteriormente para construir abordagens de fraude mais convincentes e direcionadas.
Um dos principais pontos de atenção está justamente na combinação de informações que, isoladamente, podem parecer pouco relevantes. Nome, data de nascimento, telefone, e-mail e endereço, associados ao número de participante, categoria no programa de fidelidade, saldo de milhas e dados parciais do cartão, permitem construir um perfil suficientemente detalhado para aumentar a credibilidade de uma abordagem maliciosa.
Segundo análise da empresa de cibersegurança, um criminoso pode, por exemplo, entrar em contato mencionando corretamente o nome do consumidor, afirmar que identificou uma irregularidade na conta LATAM Pass, fazer referência ao saldo de milhas e utilizar parte dos dados do cartão como suposta confirmação de identidade. A partir daí, pode tentar induzir a vítima a acessar uma página falsa, fornecer uma senha, compartilhar um código de autenticação ou realizar uma operação financeira.
Esse tipo de risco ganha relevância em um cenário de crescimento das fraudes digitais no país, com a Serasa Experian registrando quase 3 milhões de tentativas de fraude de identidade no Brasil apenas no primeiro semestre de 2026, alta de 32,9% em relação ao mesmo período de 2025.
No cenário internacional, o Verizon 2025 Data Breach Investigations Report analisou mais de 22 mil incidentes e 12.195 violações confirmadas e apontou o abuso de credenciais como responsável por 22% dos vetores iniciais de acesso, enquanto aproximadamente 60% das violações envolveram algum componente humano, cenário que ajuda a explicar por que informações obtidas em incidentes podem continuar sendo exploradas em campanhas de phishing e engenharia social.
Para Luiz Claudio, CEO e fundador da LC SEC, o caso mostra por que empresas e consumidores não devem considerar apenas senhas ou números completos de cartão como informações capazes de gerar risco. “Um conjunto de dados aparentemente fragmentado pode ganhar muito valor quando é combinado. Nome, telefone, endereço, informações sobre uma conta de fidelidade e detalhes parciais de um cartão podem dar ao criminoso o contexto necessário para construir uma abordagem muito mais convincente.
A vítima não recebe apenas uma mensagem genérica: ela pode receber uma comunicação que parece conhecer sua relação com determinada empresa, o que aumenta a chance de confiança e de continuidade do golpe”, afirma.
No caso de programas de fidelidade, uma das possibilidades é o uso das informações para criar situações de urgência relacionadas às próprias milhas, com o consumidor podendo receber uma mensagem sobre uma suposta expiração de pontos, um resgate não autorizado, uma alteração cadastral ou um bloqueio da conta e, como parte das informações apresentadas pelo criminoso pode estar correta, a comunicação tende a parecer mais convincente.
A tentativa pode terminar em uma página falsa para roubo de credenciais, na solicitação de um código de autenticação ou em uma fraude financeira, mostrando como dados que não permitem diretamente uma operação bancária ainda podem funcionar como ponto de partida para ataques mais sofisticados.
Além da segurança técnica, o caso coloca em evidência a importância da forma como as empresas comunicam incidentes aos titulares, já que, desde a Resolução CD/ANPD nº 15/2024, ocorrências envolvendo dados pessoais que possam provocar risco ou dano relevante devem ser comunicadas à ANPD e aos titulares no prazo de até três dias úteis, conforme os critérios estabelecidos pela regulamentação, além da necessidade de manutenção do registro do incidente por pelo menos cinco anos.
Na prática, a comunicação não deve ser encarada apenas como uma obrigação regulatória, pois informar quais dados foram envolvidos e quais cuidados devem ser adotados pode ajudar a reduzir os danos provocados por tentativas de fraude posteriores.
“Depois de um incidente, o consumidor precisa entender o que aconteceu e, principalmente, o que pode acontecer a partir dali, porque uma comunicação muito genérica pode não ser suficiente para que ele reconheça uma tentativa de golpe que utilize informações reais”, explica Luiz Claudio.
O episódio também chama atenção para a proteção de plataformas de fidelidade, já que milhas e pontos representam ativos de valor e estão associados a contas com informações pessoais, exigindo controles como testes em aplicações e APIs, gestão de vulnerabilidades, autenticação em camadas e monitoramento de acessos.
A preocupação continua após o incidente, com o uso de Threat Intelligence para identificar credenciais expostas, domínios falsos e páginas de phishing, além da preparação de equipes para reconhecer abordagens fraudulentas e responder rapidamente a novos sinais de exploração.
O avanço da inteligência artificial acrescenta outra camada a esse cenário, com o relatório de 2026 da International Business Machines (IBM) estimando o custo médio mundial de uma violação em US$ 4,99 milhões e apontando que um em cada quatro incidentes maliciosos analisados teve algum uso de IA pelos atacantes, inclusive em recursos de personificação e produção de conteúdo.
A combinação de dados pessoais legítimos com ferramentas de IA pode tornar os golpes ainda mais convincentes, especialmente quando o criminoso consegue personalizar o contato. Para os consumidores, o especialista ressalta que é necessário desconfiar de mensagens urgentes sobre milhas, cartões ou segurança, evitar links recebidos por canais não solicitados, acessar a conta diretamente pelos canais oficiais e nunca fornecer senhas ou códigos de autenticação.
Sobre a LC SEC
A LC SEC é uma consultoria especializada em segurança da informação e compliance, com atuação no Brasil e na Europa há mais de 10 anos. A empresa já executou mais de 150 projetos em cibersegurança e adequação a normas internacionais, incluindo ISO 27001, ISO 42001, SOC2, PCI DSS, NIST, LGPD, GDPR e DORA. Seu portfólio inclui soluções de Threat Intelligence baseadas em IA para monitoramento de credenciais expostas, domínios falsos e riscos digitais, além de Pentest, SGSI, Auditoria Interna, Plano Diretor de Segurança, gestão de riscos e programas de conscientização em segurança.
