LATAM Pass sofre incidente de segurança e expõe dados de clientes: o risco vai muito além do vazamento
Um incidente de cibersegurança envolvendo o LATAM Pass, programa de fidelidade da LATAM, permitiu consultas não autorizadas a informações pessoais de clientes e volta a colocar em evidência um problema cada vez mais relevante para empresas que mantêm grandes ecossistemas digitais: uma invasão não precisa expor senhas ou números completos de cartões para produzir consequências importantes para seus clientes.
O incidente foi identificado em 29 de julho de 2026, mas tornou-se público em agosto, depois que a companhia comunicou clientes potencialmente afetados. Segundo informações divulgadas pela empresa e reproduzidas pela imprensa, os acessos indevidos envolveram desde informações cadastrais até dados relacionados às contas LATAM Pass e informações parciais de cartões de crédito.
A companhia afirma que apenas uma “parcela limitada” dos participantes do programa foi afetada, mas, até o momento das publicações consultadas, não havia divulgado publicamente o número total de clientes atingidos.
O caso merece atenção principalmente porque demonstra como diferentes informações aparentemente isoladas podem ser combinadas para criar ataques extremamente convincentes.
O que aconteceu com o LATAM Pass
Segundo as informações divulgadas, a LATAM detectou consultas não autorizadas aos sistemas relacionados ao LATAM Pass em 29 de julho.
Após identificar a ocorrência, a empresa informou ter adotado medidas como bloqueio de endereços IP suspeitos, correções no código dos sistemas, implementação de controles adicionais de segurança e adoção de mecanismos de proteção contra acessos remotos automatizados. A Autoridade Nacional de Proteção de Dados (ANPD) também foi notificada.
Entre as informações que teriam sido acessadas estão:
- nome completo;
- data de nascimento;
- endereço de e-mail;
- telefone;
- endereço residencial;
- número de associado LATAM Pass;
- categoria e status da conta;
- saldo de milhas;
- pontos qualificáveis;
- primeiros seis e últimos quatro dígitos do cartão de crédito;
- bandeira do cartão;
- nome do titular;
- data de validade.
A companhia afirma que número completo do cartão, código de segurança (CVV), senhas e dados bancários não foram comprometidos.
Essa distinção é importante, mas não significa que as informações expostas tenham pouco valor para um atacante.
O verdadeiro risco está na combinação dos dados
Um registro contendo apenas um nome possui determinado valor para um criminoso. Um endereço de e-mail isolado possui outro. O mesmo vale para telefone, data de nascimento ou informações sobre um programa de fidelidade.
O cenário muda quando essas informações aparecem juntas.
Imagine uma mensagem enviada para uma vítima contendo seu nome correto, número de associado LATAM Pass, categoria dentro do programa, saldo aproximado de milhas e informações sobre seu cartão.
A mensagem poderia informar: “Detectamos uma tentativa de resgate de 85 mil pontos da sua conta LATAM Pass. Confirme imediatamente a operação.”
Para tornar a comunicação ainda mais convincente, o criminoso poderia apresentar os últimos quatro dígitos do cartão utilizado pelo cliente.
Nesse cenário, a vítima não recebe simplesmente um phishing genérico. Ela recebe uma mensagem construída com informações verdadeiras sobre sua relação com a empresa.
É justamente aí que o incidente ganha outra dimensão.
Os dados expostos podem funcionar como matéria-prima para spear phishing, smishing, vishing, engenharia social, tentativa de recuperação fraudulenta de contas e outras formas de fraude digital.
Milhas também são ativos digitais
Outro aspecto importante do incidente é a exposição do saldo de milhas e dos pontos qualificáveis.
Programas de fidelidade deixaram há muito tempo de representar apenas mecanismos promocionais. Pontos e milhas possuem valor econômico e podem ser convertidos em passagens, produtos, serviços e outros benefícios.
Na prática, uma conta contendo centenas de milhares de pontos representa um ativo digital.
Para um criminoso, conhecer previamente quais contas possuem saldos relevantes permite priorizar alvos.
É uma lógica semelhante à utilizada em outros ataques: em vez de atacar indiscriminadamente milhares de usuários, o adversário pode concentrar seus esforços nos perfis que apresentam maior retorno potencial.
Nesse contexto, informações sobre saldo de milhas + identidade + telefone + e-mail + cartão parcial formam um conjunto particularmente interessante para campanhas de engenharia social.
Um risco que a própria LATAM já reconhecia
Há um detalhe especialmente interessante quando o incidente é observado sob a perspectiva de gestão de riscos.
Em documentação ESG publicada anteriormente pelo LATAM Airlines Group, a companhia já identificava IA generativa e vulnerabilidades de cibersegurança entre seus riscos.
O documento menciona explicitamente cenários envolvendo fraude em plataformas de pagamento, fraude no resgate de milhas e roubo de pontos LATAM Pass, além do potencial impacto financeiro, jurídico e reputacional desses eventos.
A empresa também descrevia controles relacionados a programa corporativo de cibersegurança, políticas de Segurança da Informação, monitoramento contínuo e planos de resposta a incidentes e continuidade.
Isso não significa que o incidente de julho tenha relação com Inteligência Artificial — não há evidência pública disponível que permita estabelecer essa relação.
Mas existe uma diferença importante, o risco de fraude e roubo relacionado ao LATAM Pass já fazia parte do universo de ameaças reconhecido pela própria organização.
Para profissionais de Governança, Riscos e Compliance (GRC), esse detalhe torna o episódio particularmente interessante porque permite analisar a cadeia: Risco identificado → controles implementados → incidente → resposta → evidências → revisão dos controles.
A ocorrência de um incidente não significa, por si só, que não existiam controles. O questionamento relevante para governança é se os controles existentes eram proporcionais ao risco, se funcionaram conforme projetado e quais ajustes precisam ser realizados após as lições aprendidas.
O incidente também entra no radar da LGPD
A LATAM informou que comunicou tanto os titulares potencialmente afetados quanto a Autoridade Nacional de Proteção de Dados (ANPD).
A medida está relacionada às obrigações estabelecidas pela Lei Geral de Proteção de Dados Pessoais (LGPD) e pela regulamentação da ANPD.
A Resolução CD/ANPD nº 15/2024, que aprovou o Regulamento de Comunicação de Incidente de Segurança (RCIS), determina que incidentes capazes de ocasionar risco ou dano relevante aos titulares sejam comunicados à ANPD e aos titulares afetados. Entre os fatores considerados estão o envolvimento de dados financeiros, dados de autenticação, dados pessoais sensíveis, informações protegidas por sigilo ou tratamento em larga escala.
O regulamento estabelece ainda prazo de três dias úteis, contado do conhecimento pelo controlador de que o incidente afetou dados pessoais, para comunicação à ANPD, ressalvadas hipóteses submetidas a legislação específica.
Importante destacar que, com as informações públicas disponíveis até agora, não é possível concluir se houve ou não qualquer descumprimento de prazo ou obrigação regulatória pela LATAM. Uma conclusão desse tipo exigiria conhecer quando o controlador efetivamente confirmou que dados pessoais haviam sido afetados e as circunstâncias formais da comunicação realizada à Autoridade.
A ANPD confirmou à imprensa ter sido acionada e informou que sua área responsável por tratamento de incidentes faria uma análise preliminar do caso, podendo solicitar esclarecimentos adicionais à companhia.
Não é a primeira ocorrência envolvendo dados no ecossistema da LATAM
O episódio também possui antecedentes.
Em 2021, a LATAM esteve entre as companhias afetadas por um ataque contra a SITA, fornecedora global de tecnologia para o setor aéreo. O incidente atingiu sistemas relacionados ao processamento de informações de passageiros e programas de fidelidade de diferentes companhias.
A imprensa também registrou, em 2019, uma vulnerabilidade relacionada ao LATAM Play, sistema de entretenimento da companhia.
Os casos não possuem necessariamente relação técnica entre si, mas demonstram uma característica importante da indústria aérea: trata-se de um ecossistema altamente digitalizado, integrado a programas de fidelidade, meios de pagamento, aplicativos, aeroportos, fornecedores tecnológicos, parceiros comerciais e companhias aéreas.
Isso amplia consideravelmente a superfície de ataque e a cadeia de confiança.
O que clientes do LATAM Pass devem fazer
A principal preocupação no curto prazo não deve estar apenas em uma tentativa direta de utilização do cartão.
O maior risco pode surgir por meio de contatos aparentemente legítimos utilizando informações verdadeiras obtidas durante o incidente.
Clientes potencialmente afetados devem, portanto:
- monitorar regularmente o extrato de pontos e milhas do LATAM Pass, procurando resgates ou movimentações desconhecidas;
- desconfiar de mensagens informando expiração de pontos, resgates suspeitos, bloqueio da conta ou necessidade urgente de validação;
- evitar acessar links enviados por SMS, WhatsApp ou e-mail e preferir entrar diretamente no aplicativo ou site oficial;
- nunca fornecer senhas, códigos de autenticação, tokens ou informações completas de cartão em resposta a contatos recebidos;
- monitorar notificações relacionadas aos cartões utilizados na plataforma;
- utilizar senhas exclusivas para cada serviço e habilitar mecanismos adicionais de autenticação quando disponíveis;
- tratar chamadas telefônicas que demonstrem conhecimento de dados pessoais como potencial engenharia social.
A própria LATAM orientou clientes a acompanhar o extrato do programa e procurar os canais oficiais caso identifiquem movimentações desconhecidas.
Para empresas, a lição é sobre contexto, não apenas classificação do dado
Talvez a principal lição do incidente esteja na forma como as organizações avaliam o impacto de um vazamento.
Análises de risco não deveriam considerar cada campo de uma base de dados isoladamente.
Um número parcial de cartão pode parecer pouco relevante. Um saldo de milhas também. O número de associado de um programa de fidelidade provavelmente não seria classificado como informação altamente crítica quando observado sozinho.
Mas a combinação: Nome + data de nascimento + telefone + e-mail + endereço + identificação da conta + categoria + saldo de milhas + informações parciais do cartão produz algo muito mais poderoso: contexto.
E contexto é justamente aquilo que permite transformar um phishing genérico em uma fraude personalizada e convincente.
Por isso, avaliações modernas de risco de privacidade e Segurança da Informação precisam considerar não apenas a sensibilidade individual dos campos, mas também o potencial de correlação, agregação e utilização adversária dos dados.
O incidente não termina quando a vulnerabilidade é corrigida
Do ponto de vista técnico, bloquear IPs suspeitos, corrigir código e implementar mecanismos adicionais de proteção pode interromper o vetor original do ataque.
Do ponto de vista de risco, entretanto, o problema pode continuar durante meses ou anos.
Uma vez que informações pessoais tenham sido obtidas por terceiros, a organização perde o controle sobre sua replicação.
Esses dados podem ser armazenados, comercializados, correlacionados com outros vazamentos e utilizados posteriormente em campanhas de fraude.
É como trocar a fechadura depois que alguém conseguiu fotografar documentos guardados dentro da casa: a porta pode estar novamente protegida, mas as cópias das informações continuam existindo fora dela.
Essa é uma das razões pelas quais resposta a incidentes envolvendo dados pessoais precisa ultrapassar a contenção técnica.
Ela deve incluir monitoramento de fraude, threat intelligence, comunicação com clientes, gestão de identidade, revisão dos controles, análise da causa raiz e acompanhamento do risco residual.
Conclusão
O incidente envolvendo o LATAM Pass demonstra por que organizações precisam abandonar a ideia de que apenas senhas, CVVs ou números completos de cartões representam informações relevantes para criminosos.
O cibercrime moderno trabalha com correlação.
Dados aparentemente comuns podem ser combinados para construir uma narrativa suficientemente convincente para induzir uma vítima a entregar justamente aquilo que o atacante ainda não possui.
Nesse sentido, talvez o maior ativo obtido em um incidente como esse não seja uma senha ou um cartão. É o contexto necessário para conquistar a confiança da vítima.
E quando um atacante conhece quem é o cliente, como contatá-lo, qual é sua relação com a empresa, quanto possui em seu programa de fidelidade e parte dos dados de seu cartão, a próxima etapa do ataque pode não precisar explorar nenhuma vulnerabilidade tecnológica.
Pode bastar convencer uma pessoa.
Referências
TecMundo — LATAM Pass sofre invasão cibernética e expõe dados de clientes
Consultar matéria do TecMundo
Folha de S.Paulo — Dados de clientes do programa de fidelidade da Latam são vazados
Consultar reportagem da Folha
UOL — Latam admite problema com dados de clientes do programa de fidelidade
Consultar reportagem do UOL
GZH — Latam informa que dados pessoais de clientes foram consultados sem autorização
Consultar reportagem da GZH
ANPD — Regulamento de Comunicação de Incidente de Segurança
Consultar orientação oficial da ANPD
ANPD — Resolução CD/ANPD nº 15/2024
Consultar regulamentações da ANPD
LATAM Airlines Group — ESG Supporting Document 2025
Consultar documento ESG da LATAM
Clique e fale com representante oficial Netwrix Endpoint Protector
Veja também:
- Ransomware em 2026: 79% dos ataques começam com identidades comprometidas
- Identidade descentralizada: DIDs e credenciais verificáveis entram no radar dos CISOs
- AWS Kiro: quando uma página maliciosa transforma Prompt Injection em execução de código
- Pentest em Sistemas de IA
- Microsoft SharePoint sob ataque: CVE-2026-50522 permite execução remota de código e exige ação imediata
- Amatera Stealer usa blockchain para ocultar servidores C2
- Ransomware em 2026: número de vítimas bate recorde
- Top 10 Malware usados por Hackers
- O resgate não é o custo do ransomware
- Microsoft Defender pode ser transformado em arma contra EDR e antivírus
- Shadow AI: 47% do uso corporativo de IA ocorre em contas pessoais
- Cibersegurança: 95% das equipes enfrentam lacunas de habilidades
Be the first to comment