Segurança · 12 de novembro de 2026
Plataforma de reservas de viagens sofre dois incidentes de vazamento de dados pessoais
A plataforma de reservas de viagens Zoom Zoom Tour confirmou dois incidentes distintos de vazamento de dados pessoais envolvendo informações de clientes e guias. Um ataque externo explorou vulnerabilidades de segurança enquanto um erro de desenvolvimento em uma página de avaliações deixou dados acessíveis por aproximadamente dois anos.
O primeiro incidente ocorreu quando um atacante externo se registrou como membro em 4 de novembro de 2026 por volta das 15h30 e explorou vulnerabilidades em algumas funções do serviço para acessar ilegalmente informações de outros clientes e guias. Os dados de clientes expostos incluíram nomes, endereços de email, números de telefone, informações de viajantes inseridas no momento da reserva, nomes, idades e gêneros de acompanhantes, valores pagos, nomes de produtos, datas de viagem e número de pessoas. Alguns clientes também tiveram arquivos de vouchers e históricos de conversas com o centro de atendimento potencialmente expostos. As informações de guias incluíram nomes, apelidos, fotos, descrições e respostas de entrevistas, com alguns guias tendo também emails, números de telefone e identificadores de aplicativos de mensagens expostos. Como resultado do mesmo ataque, alguns pedidos receberam solicitações de cancelamento não autorizadas pelos clientes, embora a empresa tenha restaurado todos esses pedidos no mesmo dia.
O segundo incidente envolveu um erro de desenvolvimento na página de avaliações onde informações de reserva conectadas às avaliações não eram exibidas na tela, mas estavam incluídas nos dados da página e acessíveis a visitantes e mecanismos de busca. Este problema persistiu de 6 de novembro de 2024 até 4 de novembro de 2026, com números de telefone de reservantes incluídos a partir de 13 de novembro de 2024 e informações de contato de vendedores expostas até 5 de novembro de 2026. Os dados expostos incluíram nomes de clientes, emails, números de telefone, informações de viajantes principais, detalhes de produtos reservados, datas de passeios, locais de coleta e valores pagos, bem como nomes, idades e gêneros de acompanhantes. Para vendedores, nomes, identificadores de aplicativos de mensagens, contatos adicionais e informações comerciais foram expostos.
A empresa respondeu ao primeiro incidente bloqueando o acesso do atacante e fechando a conta utilizada no ataque. Para o segundo incidente, removeu informações de reserva da página de avaliações e ocultou nomes de autores. A empresa solicitou a remoção de páginas afetadas de mecanismos de busca e arquivos de internet, mantendo registros de acesso por dois anos e realizando uma revisão completa de outras páginas públicas. A empresa confirmou que números de registro civil, números de passaporte, datas de nascimento, números de cartão, números de conta e senhas não foram expostos. O número total de pessoas afetadas e o grau de sobreposição entre os dois incidentes não foram divulgados.