Vazamento de dados da Credit Acceptance em 2026

A fonte principal é o registro oficial 2026-1067 do Departamento de Assuntos do Consumidor e Regulamentação Empresarial de Massachusetts. A carta da Credit Acceptance aos consumidores incluída nesse registro informa expressamente o nome da empresa, a data da constatação em 4 de junho, os dois campos de dados afetados, o contato com as autoridades policiais, a contratação de empresas externas de cibersegurança e a oferta gratuita de monitoramento de identidade.

O Claim Depot fornece um link para o arquivo oficial de Massachusetts e, de forma independente, resume que o evento foi comunicado ao órgão regulador em 30 de junho de 2026, que nomes e SSNs estavam envolvidos e que foram oferecidos serviços da Kroll. As fontes concordam quanto a esses fatos centrais.

A carta da Credit Acceptance afirma que a empresa constatou em 4 de junho que determinadas informações pessoais haviam sido afetadas pelo incidente. Essa é a primeira data de um evento publicamente estabelecida com certeza; a notificação não a identifica como a data do acesso inicial do invasor. Não foram divulgados o período de acesso técnico, o método de entrada, os sistemas afetados nem a forma como o incidente foi descoberto.

O texto oficial afirma que o incidente foi contido, que as autoridades policiais foram contatadas e que empresas de referência em cibersegurança foram contratadas para avaliar sua abrangência e causa. Ele não afirma expressamente que arquivos foram copiados, baixados ou publicados na dark web. Por isso, o LeakData não inventa detalhes sobre acesso ou exfiltração.

A declaração exata na carta aos consumidores diz que as informações envolvidas incluíam o nome e o sobrenome do destinatário, juntamente com um número de Seguro Social. Essa combinação pode viabilizar solicitações fraudulentas de crédito, fraude de identidade para fins tributários, abertura de novas contas e engenharia social direcionada. A fonte apresenta esses campos como aplicáveis ao destinatário da notificação.

A notificação não lista datas de nascimento, endereços postais ou de e-mail, números de telefone, carteiras de motorista, passaportes, contas bancárias, cartões de pagamento, saldos de crédito, senhas, detalhes de seguro-saúde ou informações médicas. Os documentos solicitados para estabelecer um congelamento de crédito na seção de recursos gerais não são campos de dados envolvidos no incidente.

O arquivo público de Massachusetts fornece um modelo da carta aos consumidores, mas não apresenta de forma visível um total de pessoas afetadas no estado ou em todos os Estados Unidos. O Claim Depot não informa um total numérico. Como a abrangência dos dados da fonte é desconhecida, não seria confiável presumir que apenas um estado foi afetado, contar os destinatários das notificações ou fazer uma estimativa com base na carteira de clientes da empresa.

Um valor zero no LeakData não significa que ninguém foi afetado; indica que nenhum total nacional verificado foi divulgado publicamente. O site publica apenas metadados do incidente, categorias de dados confirmadas pelas fontes e medidas de proteção que os leitores podem adotar.

A empresa afirmou que conteve o incidente, contatou as autoridades policiais e trabalhou com empresas de cibersegurança para avaliar sua abrangência e causa. Foram oferecidos às pessoas afetadas 24 meses de monitoramento gratuito de identidade por meio da Kroll. O pacote inclui monitoramento de crédito em uma única agência de crédito, orientação sobre fraudes e assistência para recuperação após roubo de identidade.

A inscrição exige o número de adesão informado na carta do destinatário; no modelo público, o número de adesão e o prazo de ativação estão ocultos por marcadores de posição. Por isso, o LeakData não tenta adivinhar um código ou prazo. Para dúvidas sobre o incidente e os serviços, a notificação informa o telefone 1-844-959-7145, disponível nos dias úteis, das 8:00 da manhã às 5:30 da tarde, no horário Central dos Estados Unidos.

Se você recebeu uma notificação, deve ativar os serviços da Kroll apenas pelo endereço oficial de inscrição, usando o número de adesão informado na sua carta. Depois, revise regularmente seus relatórios de crédito, extratos de contas, registros tributários e consultas para concessão de novo crédito em busca de atividades que não reconheça. Quando um SSN é afetado, um congelamento de crédito, um alerta de fraude e o IRS Identity Protection PIN podem ser medidas de proteção adequadas.

Não compartilhe SSNs, números de adesão, códigos de verificação nem faça pagamentos em resposta a e-mails, mensagens de texto ou ligações inesperadas de quem alegue representar a Credit Acceptance ou a Kroll. Verifique os dados de contato de forma independente, comparando-os com a carta oficial. Se surgir uma mensagem suspeita ou um evento suspeito em uma conta, confirme sua autenticidade pelo canal de contato oficial atual da organização, sem usar os links da mensagem. Quando uma carta de notificação individual estiver disponível, ela será a fonte principal para saber quais dados daquela pessoa foram afetados e quais opções de proteção foram oferecidas.