Paidwork: 23 milhões de contas da plataforma de microtarefas vazados em um fórum cibercriminoso - editor mantém silêncio

Um dump de 11 GB contendo os dados de mais de 23 milhões de usuários do Paidwork foi colocado à venda em um fórum de hackers e posteriormente adicionado ao Have I Been Pwned em 19 de julho de 2026. Contas bancárias, endereços, datas de nascimento e bcrypt: o inventário é extenso. O Paidwork ainda não se manifestou publicamente.

Os fatos

Paidwork é uma plataforma de microtarefas online (jogar jogos móveis, assistir a anúncios, responder a pesquisas, testar apps, cashback, indicação) que monetiza a atenção e o tempo de seus usuários. Segundo o Have I Been Pwned (HIBP), que adicionou a violação à sua base em 19 de julho de 2026, um vazamento afeta 23.272.765 usuários.

Cronologia reconstituída pelo The Register com base em anúncios do ator:

• Março de 2026: violação efetiva (data declarada na ficha do HIBP).
• Abril de 2026: a base foi colocada à venda publicamente em um fórum de cibercriminosos.
• 19 de julho de 2026: integração ao HIBP.

O vendedor, sob o pseudônimo HACKFORMETOME, ofereceu o vazamento de 11 GB em um fórum de hacking e tentou monetizá-lo via Telegram e Tox. Nenhum pesquisador individual é citado como descobridor; o The Register indica que a Paidwork não havia respondido às suas solicitações no momento da publicação.

O que foi exposto

Segundo o HIBP:

• Números de conta bancária
• Números de telefone
• Endereços físicos
• Datas de nascimento
• Fotos de perfil
• Endereços IP
• Informações do dispositivo
• Histórico de transações financeiras e pagamentos
• Nível de escolaridade
• Senhas em hash bcrypt

A análise

O único ponto minimamente tranquilizador nesse vazamento é o armazenamento das senhas em bcrypt (com um custo adequado, o bcrypt permanece resistente a ataques de força bruta offline para senhas não triviais). Todo o resto é catastrófico. A combinação data de nascimento + endereço físico + número de telefone + extrato bancário + histórico de pagamentos constitui um kit pronto para roubo de identidade, especialmente para:

• Tomada de controle de contas (ligações para bancos, SIM swap no número exposto).
• Phishing hiperpersonalizado com prova de conhecimento da conta real.
• Fraude contra terceiros com usurpação de identidade completa.

O fato de uma base estar à venda publicamente desde abril de 2026 e a plataforma não ter se comunicado até a data da publicação é uma falha ao menos moral, potencialmente legal conforme as jurisdições dos usuários afetados (GDPR artigo 34: notificação às pessoas afetadas “sem demora indevida” em caso de risco elevado).

O que fazer agora

Se você tem ou teve uma conta na Paidwork:

1. Verificar no HIBP: haveibeenpwned.com – insira o e-mail usado.
2. Trocar a senha em todos os lugares onde ela foi reutilizada (especialmente se não usava um gerenciador).
3. Ativar a MFA em todos os lugares possíveis, exceto SMS (priorizar TOTP ou passkey) – o número exposto torna o SIM swap plausível.
4. Monitorar tentativas de fraude bancária; considerar um congelamento de crédito conforme a jurisdição.
5. Vigilância contra phishing: os próximos meses verão circular e-mails e SMS críveis usando os dados expostos.

Para equipes de segurança: integrar o vazamento aos fluxos de threat intel de monitoramento de identidade se funcionários estiverem incluídos (o kit de engenharia social contra eles se torna muito mais perigoso).