Vazamento de dados da ANKA de abril de 2025

Segundo o registro da Procuradoria-Geral do Maine, 537.877 pessoas foram afetadas; o incidente ocorreu em 30 de abril de 2025, foi descoberto em 22 de novembro de 2025 e as notificações aos consumidores foram enviadas em 16 de janeiro de 2026. O comunicado oficial da ANKA, “Incidente de segurança”, afirma que um acesso não autorizado afetou uma cópia instantânea de abril de 2025 em um sistema usado para armazenar informações de clientes e que seu banco de dados principal não foi violado.

O arquivo selado analisado contém exatamente 537.877 registros em seu membro user, número que corresponde à contagem oficial de pessoas afetadas. Considerando todas as coleções relacionadas, o arquivo contém 5.153.796 objetos físicos JSON ou de amostra, 1.179.583 ocorrências de e-mails válidos em campos da própria fonte com nomes que indicam explicitamente e-mail e 562.699 endereços de e-mail canônicos únicos. A contagem de e-mails únicos pode superar a contagem oficial de pessoas porque os registros de vendas e lojas também contêm e-mails de compradores, vendedores e usuários de lojas; 562.699 não é uma contagem de pessoas afetadas. Não foi feito nenhum ajuste para corresponder à alegação de 563.164 e-mails únicos presente na descrição do arquivo. A data de 9 de janeiro de 2026 indicada no arquivo conflita com a data oficial do incidente e não foi usada como data do vazamento.

O comunicado oficial afirma que o incidente pode ter envolvido nomes e informações de contato, dados demográficos, situação da conta, histórico básico de transações e endereços de e-mail. Afirma expressamente que senhas, dados de cartões de pagamento, tokens de login ou de autenticação, informações financeiras e arquivos sensíveis não estiveram envolvidos. Por isso, alegações de terceiros sobre tokens ou dados financeiros não são reproduzidas aqui. Somente os 562.699 endereços de e-mail canônicos verificados em campos explicitamente destinados a e-mail são importados; nomes, números de telefone, endereços, datas de nascimento, gênero, tokens, saldos, detalhes de pedidos e todos os demais campos não são importados. Uma correspondência de e-mail, por si só, não comprova a titularidade da conta nem que qualquer outro campo pertença à mesma pessoa.