28 abr Cibercrime sequestra dados da Vimeo e exige resgate para evitar vazamento
O grupo de extorsão ShinyHunters afirma ter comprometido instâncias Snowflake e BigQuery da Vimeo, obtendo acesso a informações sensíveis. Os criminosos publicaram um aviso de “alerta final” em seu site dark web em 28 de abril de 2026, exigindo pagamento para não vazar os dados.
A porta de entrada, segundo os criminosos, foi a Anodot, uma empresa israelense de análise de negócios usada pela Vimeo como integração terceirizada. A mensagem publicada é direta: “Vimeo Inc., os dados das suas instâncias Snowflake e BigQuery foram comprometidos graças à Anodot.com. Pague ou vazamos.”
O que a Vimeo confirmou
A empresa confirmou o incidente em comunicado e em post no blog oficial. Segundo a Vimeo, um ator não autorizado acessou certos dados de usuários e clientes como consequência da brecha na Anodot. A própria empresa referenciou o relatório do Google Threat Intelligence associado ao ator responsável pelo incidente.
O site do grupo, ativo desde 2019, lista simultaneamente diversas vítimas. Entre as entradas visíveis além da Vimeo estão ADT (mais de 10 milhões de registros Salesforce, 11 GB comprimidos), Udemy (1,4 milhão de registros), Marcus & Millichap (30 milhões de registros, 5,4 GB comprimidos) e Zara, esta também comprometida via instância BigQuery ligada à Anodot. Imagem: Cybernews
As descobertas iniciais indicam que os bancos de dados acessados continham principalmente dados técnicos, títulos de vídeos e metadados, além de endereços de email de clientes em alguns casos. A empresa afirma que conteúdo de vídeo, credenciais de login válidas e dados de cartão de pagamento não foram acessados.
Como a empresa respondeu
Ao tomar conhecimento do incidente, a Vimeo desativou imediatamente todas as credenciais da Anodot, removeu a integração com seus sistemas, contratou especialistas externos em segurança para auxiliar na investigação e notificou as autoridades.
“Esta investigação está em andamento e continuaremos tomando as medidas apropriadas à medida que soubermos mais”, disse a empresa.
O post do ShinyHunters estipula 30 de abril de 2026 como prazo final para a Vimeo entrar em contato, sob ameaça de vazar os dados junto com “vários problemas (digitais) irritantes”. A ausência de botão de download, ao contrário de outras vítimas no mesmo site, indica que as negociações ainda estão abertas. Imagem: Cybernews.
O risco por trás dos dados expostos
Mesmo sem confirmação sobre o volume exato do vazamento, o perigo potencial é significativo. O ShinyHunters pode ter obtido dados de analytics de usuários, informações de conta e dados de operações de negócio, possivelmente incluindo informações pessoais identificáveis.
Esse tipo de dado pode ser usado para alimentar ataques adicionais contra os clientes e usuários afetados.
O contexto mais amplo
O caso da Vimeo não é isolado. Ontem o TecMundo registrou o vazamento de dados da Udemy, plataforma de cursos online. Obra do ShinyHunters, esta divulgação incluiu mais de 1,4 milhão de dados incluindo nomes completos, endereços físicos, números de telefone, informações sobre empregadores, títulos de cargos, e-mails e métodos de pagamento de instrutores.
Udemy aparentemente não quis negociar com os criminosos, o que levou ao vazamento dos dados. O TecMundo entrou em contato com a empresa mas não obteve resposta.
O post no site das vítimas não especifica o volume ou tipo exato de dados roubados, nem o valor do resgate exigido. A quadrilha deu dois dias para a Vimeo responder, prazo que, segundo a publicação, indica que as negociações não estão avançando.
Acompanhe o TecMundo nas redes sociais. Para mais notícias de segurança e tecnologia, inscreva-se em nossa newsletter e canal do YouTube.