Um banco de dados contendo quase 14 milhões de registros de vazamentos anteriores foi deixado acessível a qualquer pessoa com conexão à internet, potencialmente expondo informações sensíveis pertencentes a pessoas ao redor do mundo.
A descoberta foi feita por cybersecurity researcher Jeremiah Fowler , que publicou suas descobertas pelo ExpressVPN em 12 de outubro de 2026. O banco de dados continha aproximadamente 13,7 milhões de registros, incluindo endereços de e-mail, nomes de usuário, senhas, números de telefone e informações bancárias.
De acordo com a investigação do ExpressVPN, o banco de dados não era protegido nem criptografado por senha. Isso significava que seu conteúdo podia ser visualizado por um navegador web sem necessidade de fazer login ou burlar os controles de segurança.
Fowler rastreou o servidor exposto até uma plataforma de inteligência de dados conectada à Vibetech, uma empresa indiana envolvida em desenvolvimento de software de IA e serviços de TI. A plataforma parecia coletar informações de diversos bancos de dados previamente comprometidos.
Os registros incluíam coleções rotuladas como originárias da AT&T, Amazon, Walmart, PayPal e outras organizações. Um conjunto de dados associado à AT&T continha aproximadamente 7,9 milhões de registros, enquanto outro, rotulado como coleção de credenciais da Amazon, continha mais de 1,2 milhão.
Importante destacar que esses rótulos não comprovam que as empresas nomeadas sofreram novas violações de segurança. As informações pareciam vir em grande parte de incidentes mais antigos, embora o ExpressVPN tenha observado que alguns conjuntos de dados não correspondiam aos totais de violações publicamente conhecidos.
A origem das informações coletadas permanece incerta. Os pesquisadores não estabeleceram como a Vibetech obteve os registros ou se a plataforma foi desenvolvida para uso interno ou para um cliente terceirizado.
Após a descoberta, Fowler notificou a organização associada ao servidor e seu provedor de hospedagem. O acesso ao banco de dados foi posteriormente restringido, e as credenciais expostas não eram mais visíveis publicamente.
No entanto, o relatório da ExpressVPN afirma que não se sabe por quanto tempo a informação permaneceu acessível ou se indivíduos não autorizados as baixaram antes que o banco de dados fosse protegido.
Mesmo quando informações roubadas vêm de violações antigas, expô-las novamente pode criar riscos adicionais. Criminosos podem combinar endereços de e-mail, senhas e dados pessoais para tentar tomar controle de contas, golpes de personificação ou ataques de phishing convincentes.
Por exemplo, alguém que reutilizou uma senha antiga em vários sites ainda pode ficar vulnerável se essa senha aparecer na coleção exposta.
O ExpressVPN recomenda alterar senhas potencialmente comprometidas, evitar o reuso de senhas e habilitar a autenticação em dois fatores sempre que possível. Os usuários também devem ter cuidado com mensagens inesperadas solicitando informações pessoais ou financeiras.