Vazamento de Dados Milionário Contaminado por Registros Sintéticos na Carhartt

A alegação de um megavazamento de 24,8 milhões de registros da Carhartt, feita pelo grupo ShinyHunters, revelou-se um exemplo clássico da necessidade de verificação rigorosa. Troy Hunt, especialista em segurança, mergulhou fundo na análise. Ele usou uma combinação de IA, através da ferramenta PwnedClaw, e inspeção manual para dissecar o conjunto de dados. A descoberta: uma quantidade massiva de dados sintéticos, como benchmarks TPC-DS, duplicações de roteamento do Microsoft 365 e perfis de nascimento irrealistas.

Essa investigação forense reduziu o número real de registros comprometidos para cerca de 12,9 milhões. A hipótese mais plausível é que os invasores não fabricaram os dados, mas exfiltraram uma instância Databricks onde informações de clientes e de teste estavam misturadas. Esse cenário já foi abordado pelo CEVIU News na matéria "Vazamentos de Dados: O Caso Carhartt e a Importância Crítica da Verificação Rigorosa", de 26 de agosto de 2026, que sublinhava a urgência de questionar alegações de grandes vazamentos.

A cobertura anterior do CEVIU, publicada em 26 de agosto de 2026, já alertava sobre a necessidade de verificação rigorosa em alegações de vazamentos, usando o caso Carhartt como um exemplo emblemático. Agora, esta notícia aprofunda essa discussão, entregando os detalhes concretos da investigação de Troy Hunt. O que era uma pauta sobre a importância da diligência, se tornou a comprovação prática do porquê e do como essa verificação é crucial, revelando a exata natureza dos 'dados falsos' e o impacto direto nos números. A evolução mostra como a desinformação de atacantes pode inflar as estatísticas reais, exigindo um escrutínio técnico mais apurado.

Este caso Carhartt sublinha a urgência de as empresas manterem uma higiene de dados impecável, separando ambientes de produção e teste. Misturar dados de clientes com informações sintéticas ou de benchmark em ambientes como Databricks cria vulnerabilidades e complica a resposta a incidentes. Para o mercado, reforça a desconfiança em números de vazamento divulgados por grupos cibercriminosos e destaca o papel vital de especialistas independentes na validação. A precisão na quantificação de um vazamento impacta a estratégia de resposta, a comunicação com clientes e as obrigações regulatórias, evitando pânico desnecessário e direcionando recursos de segurança de forma eficaz.