Vazamento de dados da Figure em 2026

Os tipos de dados confirmados neste vazamento são nome completo, endereço de e-mail, número de telefone, endereço físico e data de nascimento. Isoladamente, esses campos podem não representar um risco de acesso à conta tão direto quanto uma senha; no entanto, quando combinados, formam um perfil robusto para cruzamento de identidades e engenharia social direcionada. O endereço de e-mail pode ser usado indevidamente para entrar em contato com você, o número de telefone para chamadas ou campanhas de SMS, e o endereço físico para dar a impressão de uma relação legítima com o cliente. A data de nascimento também pode ajudar a adivinhar respostas a perguntas de verificação de identidade semelhantes às usadas em centrais de atendimento.

No incidente da Figure, como não foi verificada a presença de campos de senha ou cartão de pagamento, o principal foco de risco está mais relacionado à autenticação, a chamadas falsas de suporte e à manipulação de decisões financeiras do que à tomada de controle de contas. Invasores podem entrar em contato com uma pessoa sob o pretexto de uma solicitação de crédito, revisão de conta, plano de pagamento, verificação de identidade ou atualização de documentos. Alguém que conhece seu nome, endereço e telefone pode se passar por um representante legítimo da empresa. Por isso, o incidente exige muita cautela, mesmo que não haja informações que permitam acesso direto a contas financeiras.

O número de e-mails únicos verificados neste registro é de 967.178. A data do incidente é 28 de janeiro de 2026, enquanto a divulgação pública dos registros ocorreu em fevereiro de 2026. Os dados estão associados à plataforma Figure, e a empresa admitiu que o acesso foi obtido por meio de engenharia social. Essa distinção é importante porque o risco observado para você não está relacionado apenas a uma vulnerabilidade técnica, mas também à possível manipulação de processos internos de acesso.

Os campos verificados neste registro se limitam a informações pessoais de contato e identificação. Senhas, valores de hash de senhas, dados de cartões de pagamento, contas bancárias, relatórios de crédito, pontuações de crédito, documentos oficiais de identificação, recursos de clientes ou saldos de transações não estão entre as categorias de dados verificadas. Você deve agir levando essa limitação em conta: não é necessário entrar em pânico como se os campos ausentes estivessem presentes, mas é importante lembrar que a combinação de nome, endereço, telefone e data de nascimento pode ser um forte elemento de persuasão em tentativas de fraude financeira.

O grupo de maior risco é formado por pessoas que tiveram contato com crédito, financiamento, produtos financeiros relacionados à moradia ou serviços financeiros digitais por meio da Figure. Mesmo quem usou a plataforma apenas para obter informações pode ter compartilhado e-mail, telefone e endereço. Além disso, pessoas que estão buscando ativamente serviços financeiros podem responder mais rapidamente a mensagens falsas sobre aprovação de crédito, segurança da conta, documentos pendentes, mudanças nas taxas de juros ou atualizações de planos de pagamento.

Para quem tem número de telefone e data de nascimento no registro, o risco vai além das mensagens típicas de phishing que chegam à caixa de entrada do e-mail. Contatos por chamadas de voz, mensagens de texto e aplicativos de mensagens podem parecer mais convincentes. Se você usa o mesmo número de telefone em contas de bancos, cartões de crédito, investimentos, criptomoedas, seguros e serviços de governo digital, deve ter cuidado redobrado. A inclusão do endereço também facilita a criação de cenários adequados à região onde você mora ou ao seu histórico de entregas.

Se você tem uma conta associada à Figure, verifique primeiro o histórico de acessos e as configurações de segurança da conta. Mesmo que este registro não inclua campos de senha verificados, a autenticação de dois fatores deve ser ativada nas contas financeiras que usam o mesmo endereço de e-mail. Como sua conta de e-mail funciona como um ponto central de redefinição de senhas para serviços financeiros, é essencial usar nela uma senha forte e exclusiva. Se você encontrar um dispositivo desconhecido, uma notificação inesperada de redefinição de senha ou uma solicitação que não é sua, entre em contato diretamente com o canal oficial de suporte da instituição correspondente.

Não atenda a solicitações de crédito, verificação de conta, atualização de documentos, planos de pagamento ou verificações de segurança recebidas por telefone ou e-mail usando o link fornecido. Em vez de clicar no link da mensagem, acesse sua conta digitando você mesmo o domínio da instituição no navegador ou use o aplicativo oficial registrado. Mesmo que a pessoa que liga saiba seu nome, endereço ou data de nascimento, isso, por si só, não comprova que ela seja confiável. Todas as solicitações de transações financeiras, fotos de documentos de identidade, códigos de uso único, senhas ou pagamentos devem ser verificadas por um canal separado.

O incidente mostra que o risco de engenharia social nos serviços financeiros pode atingir não apenas usuários, mas também funcionários. Para sua proteção a longo prazo, adote como hábitos básicos uma senha exclusiva para cada conta financeira, autenticação de dois fatores robusta e monitoramento regular das sessões. Como endereços de e-mail e números de telefone permanecem os mesmos por anos, depois que essas informações são publicadas, elas podem ser reutilizadas repetidamente em diferentes campanhas. Por isso, comunicações suspeitas devem ser levadas a sério não apenas no período em que o incidente ocorreu, mas também nos anos seguintes.

No âmbito corporativo, empresas de tecnologia financeira precisam limitar o acesso de funcionários de acordo com o princípio do menor privilégio, monitorar imediatamente acessos incomuns aos dados e usar etapas adicionais de verificação contra tentativas de engenharia social. Os dados dos clientes dependem da relação de confiança financeira; portanto, há uma forte expectativa de proteção para campos como nome, endereço, telefone e data de nascimento, mesmo que eles não contenham diretamente informações de pagamento. A comunicação transparente após um incidente, a definição clara de seu escopo e a oferta de medidas práticas de segurança aos clientes são importantes para reduzir os riscos.

Se seu endereço de e-mail aparece neste registro, verifique suas interações anteriores com a Figure ou com serviços financeiros relacionados. Se você tem uma conta, revise suas configurações de segurança, ative a autenticação de dois fatores e reforce a proteção da sua conta de e-mail. Ative as configurações de notificação nas plataformas financeiras que você usa com o mesmo número de telefone e e-mail. Se você receber uma solicitação de crédito, uma alteração de endereço, um pedido de documentos ou uma mensagem sobre segurança da conta que não esperava, use os canais oficiais da instituição em vez dos links da mensagem.

Um vazamento de dados traz riscos à identidade no contexto financeiro, mesmo quando os campos de dados verificados são limitados. A ausência de senhas ou cartões de pagamento é um limite importante para você; no entanto, a combinação de nome, endereço, telefone e data de nascimento pode ajudar invasores a preparar conversas convincentes. A abordagem mais adequada é usar mecanismos robustos de verificação em todas as contas financeiras, nunca compartilhar códigos de uso único com ninguém, interromper o atendimento a solicitações urgentes e verificá-las por um canal separado, além de lembrar que informações pessoais podem ser reutilizadas ao longo do tempo em diferentes tentativas de fraude.