O iFood disse nesta quarta-feira (3) que registrou o vazamento de dados de 1,2 milhão de seus usuários, o que equivale a 2% da base de usuários da empresa. Segundo a companhia, o ataque de hackers ocorreu em dezembro de 2025, mas teria sido contido rapidamente.
A confirmação veio depois que um usuário do BreachForums —fórum de hackers na dark web onde há compra e venda de material roubado— disse, na semana passada, que possuía dados de mais de 43,84 milhões de clientes brasileiros do iFood, incluindo CPF (Cadastro de Pessoa Física), nomes, emails, telefones e informações de cartões de crédito.
Em nota, a companhia disse que “não encontrou qualquer evidência de que 43 milhões de dados de usuários foram vazados”.
“Após sucessivas análises, identificamos que o material disponibilizado na internet se refere a um incidente isolado, ocorrido em dezembro de 2025, e que foi rapidamente neutralizado pelos nossos protocolos de segurança. O evento envolveu dados cadastrais, como nome e CPF, sem qualquer comprometimento de senhas, meios de pagamento ou registros financeiros, com impacto restrito a cerca de 2% da nossa base de usuários”, escreveu em nota.
A empresa afirma que não notificou a ANPD (Autoridade Nacional de Produção de Dados), porque “o evento não acarreta risco ou dano relevante aos titulares, de acordo com os critérios regulatórios”.
“O iFood lamenta o ocorrido e reforça para os usuários que todas as comunicações são feitas somente pelos canais oficiais da plataforma”, completou.
Na semana passada, o iFood havia dito que não encontrou evidência do vazamento. “Informamos que não houve qualquer comprometimento de senhas, meios de pagamento ou dados financeiros de usuários e parceiros”, escreveu a empresa na ocasião.
Segundo o Dark Web Informer, site sobre cibersegurança que monitora fóruns da dark web, o vazamento poderia possibilitar fraudes de identidade e financeiras em larga escala contra dezenas de milhões de brasileiros, por meio do uso de CPFs e dados de cartões de crédito, incluindo campanhas massivas de phishing e smishing (golpes por e-mail e SMS) utilizando emails e números de telefone verificados.
O suposto hacker, chamado “bacen”, pediu que o iFood entrasse em contato até 10 de junho e pagasse uma quantia não especificada na publicação.
