Dados de 32,8 milhões de usuários da Condé Nast são vendidos em fórum criminoso após vazamento

Um vendedor com pouca reputação em um fórum de cibercrime em língua russa está oferecendo, por US$ 15 mil, um banco de dados com 32,8 milhões de registros associados a usuários da Condé Nast (grupo dono de publicações como a WIRED). A extração parece ter ocorrido entre setembro e outubro de 2025, e pesquisadores que analisaram uma amostra de 5 mil registros concluíram que os dados são consistentes com contas reais — uma falha de controle de acesso do tipo IDOR (Insecure Direct Object Reference) é apontada como possível origem do vazamento.

O conjunto não inclui senhas nem dados de cartão de crédito, mas isso não reduz muito o risco: 100% dos registros trazem e-mail, e uma fração relevante inclui nome completo, endereço postal, gênero, data de nascimento e telefone. É exatamente esse tipo de dado — nome, endereço e vínculo comprovado com uma assinatura real — que dá credibilidade a um golpe de phishing ou de contato falso se passando pela editora, seja para cobrar uma “renovação de assinatura”, pedir “atualização de pagamento” ou oferecer “reembolso”.

Um detalhe chama atenção: o vendedor está oferecendo o lote com escrow e parece buscar um comprador único, não uma divulgação pública em massa. Esse padrão é típico de compradores que pretendem montar campanhas de fraude direcionada, inclusive por correspondência física (usando o endereço postal vazado), em vez do spam genérico que costuma seguir um dump público.

Quem já foi assinante de publicações da Condé Nast deve desconfiar de qualquer contato não solicitado sobre assinatura, cobrança ou reembolso — mesmo que o remetente cite corretamente nome, endereço ou histórico de compra, já que esses dados podem ter vindo justamente deste vazamento. A recomendação prática é nunca inserir dados de pagamento a partir de um link recebido por e-mail, carta ou ligação, e confirmar qualquer cobrança diretamente pelo site oficial da publicação.