Violação de Dados na Starbucks Afeta 889 Funcionários

A Starbucks confirmou que 889 funcionários tiveram dados sensíveis expostos após uma campanha de phishing bem-sucedida contra o portal interno Partner Central. Os atacantes não exploraram falhas no sistema, mas criaram clones quase idênticos da página de login, sem MFA resistente a phishing, e capturaram credenciais diretamente dos colaboradores entre 19 de janeiro e 11 de fevereiro de 2026. O acesso persistiu por 23 dias sem detecção, tempo suficiente para extrair CPFs, datas de nascimento, números bancários e de roteamento: dados que não expiram e alimentam fraudes por anos.

A empresa respondeu com contenção técnica imediata, notificações regulatórias (incluindo ao Procurador-Geral do Maine em 12/03) e ofereceu dois anos de proteção via Experian IdentityWorks, com cobertura de US$ 1 milhão contra roubo de identidade. Diferentemente de vazamentos em massa, este foi um ataque direcionado, operacionalmente discreto e altamente eficaz, o tipo que explora o elo mais fraco da cadeia: o processo de autenticação humano, não o código.

Essa violação mostra como a ausência de MFA baseado em chave de segurança FIDO2 ou passkeys, e não apenas SMS ou app authenticator, deixa sistemas corporativos vulneráveis mesmo sem bugs técnicos. Para empresas brasileiras que lidam com CPF e dados bancários, o caso é um alerta prático: políticas de segurança devem priorizar a resistência a phishing em vez de apenas 'ter MFA'. A exposição de dados duradouros também implica riscos legais sob a LGPD, já que a falta de controle sobre credenciais internas pode configurar falha na adoção de medidas de segurança adequadas ao risco.