Aura se Pronuncia Sobre Exposição Limitada de Dados de Clientes

A Aura foi vítima de um ataque de vishing que explorou a confiança humana, não uma falha técnica no sistema principal: o invasor enganou um funcionário em uma chamada telefônica e obteve credenciais válidas para acessar uma ferramenta de marketing adquirida em 2021, não seu core de proteção contra roubo de identidade. Dos 900 mil registros expostos, 865 mil vieram dessa base secundária, com dados mínimos (nome + e-mail). Mas os 35 mil clientes com endereços residenciais e telefones, ativos e ex-clientes, agora enfrentam risco real de golpes personalizados: nomes, e-mails e números permitem criar chamadas falsas críveis, especialmente com o aumento de 170% em ataques com vozes deepfake em 2025.

O grupo ShinyHunters alega ter usado uma vulnerabilidade no Okta SSO, mas a Aura não confirmou isso. Mais preocupante é o fato de 90% dos e-mails vazados já estarem em bases públicas de vazamentos anteriores, o que significa que muitos desses usuários já eram alvos conhecidos de phishing, e agora têm mais dados para alimentar ataques híbridos (e-mail + telefone + endereço). A empresa não informou se a ferramenta de marketing tinha controle de acesso granular ou se o funcionário tinha permissão excessiva, pontos-chave em auditorias pós-incidente.

Esse caso mostra que proteção contra roubo de identidade não é só sobre monitorar CPFs ou cartões: é sobre controlar o ciclo completo de dados, incluindo ferramentas terceirizadas e permissões internas. Empresas que coletam dados para marketing, mesmo sem intenção de uso sensível, criam superfícies de ataque invisíveis. E quando o atacante usa voz, não código, a defesa depende menos de firewalls e mais de treinamento contínuo, validação de identidade por múltiplos canais e limitação estrita de privilégios. Para consumidores, o alerta é claro: um e-mail vazado + um número de telefone + um endereço residencial é combustível para golpes que parecem reais, e que exigem verificação independente antes de qualquer ação.