Vazamento de dados da CarGurus em 2026

Os tipos de dados cuja exposição foi confirmada são endereços de e-mail, nomes, números de telefone, endereços físicos e endereços IP. Também foi relatado que os arquivos continham mapeamentos de contas, informações de pré-qualificação para financiamento, resultados de solicitações e informações contextuais sobre contas de concessionárias e planos de serviço. O número 12.461.887 corresponde à contagem de endereços de e-mail únicos; isso não significa que todos os registros continham os mesmos campos nem que o total corresponda ao mesmo número de pessoas. Os tipos de dados confirmados não incluem senhas nem cartões de pagamento, mas podem facilitar phishing personalizado, ligações fraudulentas de suporte e golpes relacionados à compra de um veículo ou à obtenção de financiamento. Não se deve presumir que um campo encontrado em um arquivo esteja presente para todos os endereços afetados.

O agente associado ao incidente alegou que o acesso ocorreu em 13 de fevereiro de 2026, enquanto o registro verificado adota 14 de fevereiro de 2026 como a data do vazamento. Os primeiros relatos mencionavam cerca de 1.7 milhão de registros corporativos; uma contagem posterior dos arquivos divulgados identificou 12.461.887 endereços de e-mail únicos. O primeiro número era uma alegação inicial sobre registros corporativos, enquanto o segundo é uma contagem de e-mails após a remoção de duplicatas, portanto não devem ser usados como equivalentes. Segundo os relatos, houve uma tentativa de extorsão seguida da divulgação pública dos dados. A CarGurus afirmou que uma investigação com apoio independente constatou que o incidente havia sido contido e estava restrito a um banco de dados interno da empresa, com os serviços ainda em funcionamento. Também afirmou que não havia evidências de comprometimento dos fluxos de dados das concessionárias, das conexões de integração, dos sistemas de gestão de clientes das concessionárias, dos produtos principais ou dos serviços para consumidores. Essa avaliação não invalida a contagem verificada de e-mails nos arquivos divulgados.

O risco mais direto recai sobre consumidores que pesquisaram veículos na CarGurus, criaram uma conta, compartilharam dados de contato ou utilizaram a pré-qualificação para financiamento. Funcionários de concessionárias e pessoas vinculadas a contas de concessionárias também podem ser alvo de abordagens por meio de e-mails de trabalho, números de telefone ou informações sobre planos de serviço. A presença de um e-mail no conjunto de dados não comprova que a pessoa solicitou financiamento nem que seu endereço foi exposto; arquivos diferentes continham campos diferentes. Quando vários campos se combinam, um invasor pode fingir conhecer uma preferência por determinado veículo, uma relação com uma concessionária, a etapa de uma solicitação ou uma região. Assim, uma solicitação falsa de depósito, uma aprovação falsa de empréstimo, um link falso para envio de documentos de identidade ou uma ligação falsa para verificação de conta podem parecer legítimos. O risco deve ser avaliado com base no serviço utilizado e nos canais de comunicação que possam ter sido vinculados, não apenas no total divulgado em destaque.

Verifique por um meio independente a autenticidade de e-mails, mensagens de texto ou ligações inesperadas que aleguem ser da CarGurus, de uma concessionária, de uma instituição de financiamento ou de um vendedor de veículos. Digite o endereço conhecido do site em vez de seguir um link e use o número disponível no site oficial, não aquele fornecido por quem ligou. Não abra anexos inesperados, não instale programas de acesso remoto, não revele códigos de uso único nem atenda a solicitações urgentes de pagamento sem antes obter confirmação por outro canal. Senhas não estão entre os tipos de dados confirmados, mas quem reutilizou a mesma combinação de e-mail e senha deve criar uma senha longa e exclusiva para cada conta e ativar a autenticação multifator. Se você utilizou a pré-qualificação para financiamento, acompanhe os relatórios de crédito, os avisos de abertura de novas contas e os alertas de alteração de endereço, e comunique diretamente à instituição financeira qualquer solicitação que você não reconheça.

Dados de contato podem gerar um risco duradouro de engenharia social, mesmo sem uma senha. Usar aliases de e-mail separados para a busca de veículos, financiamentos e cadastros em geral facilita a identificação de mensagens que se passam por um serviço. Um gerenciador de senhas pode armazenar uma credencial exclusiva para cada conta e ajudar na revisão dos métodos de recuperação. Quando a operadora de telefonia móvel oferece esse recurso, um bloqueio de portabilidade ou um código de segurança da conta dificulta tentativas de transferência do número por alguém que conhece o telefone. Considere o conhecimento de um endereço, número de telefone ou data de nascimento uma prova fraca de identidade; use respostas aleatórias para perguntas de segurança, armazenadas em um gerenciador de senhas, em vez de respostas verdadeiras disponíveis na internet. As concessionárias devem treinar suas equipes para reconhecer phishing por e-mail e por voz, separar funções em fluxos de trabalho sensíveis, revisar permissões de acesso e gerar alertas sobre exportações ou sessões incomuns. Prazos de retenção mais curtos e menos campos opcionais reduzem o impacto de um incidente futuro. Dados de contato são difíceis de substituir, por isso abordagens convincentes podem surgir meses depois.

Use a consulta de registros nesta página para verificar se seu endereço de e-mail está associado a este vazamento. Uma correspondência não significa que todos os tipos de dados listados estavam presentes no seu registro, nem comprova que alguém acessou sua conta; significa que o identificador consultado foi encontrado no conjunto de dados verificado. A ausência de correspondência não é uma garantia absoluta, pois novos arquivos podem surgir e diferenças de formatação ou de deduplicação podem impedir a identificação de correspondências em alguns registros. Não forneça seu endereço de e-mail completo a sites não confiáveis, fóruns ou contatos não solicitados. Se houver uma correspondência, liste os serviços nos quais você reutilizou esse e-mail, revise as sessões ativas e as opções de recuperação, filtre as mensagens relacionadas e comunique diretamente à organização envolvida qualquer contato incomum sobre financiamento ou concessionárias. Avalie uma mensagem pelo domínio do remetente, pelo destino do link, pela urgência e pela ação solicitada, e não pelo nome de remetente exibido. Consultas regulares, senhas exclusivas, autenticação multifator robusta e confirmação independente de solicitações sensíveis ajudam, em conjunto, a reduzir o risco de phishing e fraude.