Vazamento de dados de Hello Cake

O arquivo herdou uma configuração de acesso incorreta durante uma migração para a nuvem. Segundo a notificação da organização ao órgão regulador, o arquivo só podia ser aberto por quem tivesse seu link exato e não podia ser localizado por busca ou navegação. Um terceiro não autorizado acessou e copiou o arquivo em 25 de julho de 2025 ou por volta dessa data. A Hello Cake identificou o acesso em 22 de agosto, removeu o arquivo e corrigiu a configuração.

A notificação informa que o evento não envolveu os sistemas, aplicativos ou redes da Hello Cake e que não foi identificado acesso a outros arquivos, nem aos demais sistemas ou dados de consultas do prestador de serviços. O arquivo pode ter contido o nome e, para algumas pessoas, a data de nascimento, o nome do medicamento prescrito e o identificador da receita. A notificação exclui expressamente informações de seguridade social, carteira de motorista e contas financeiras.

Separadamente, o fonte pública sobre vazamentos de dados cataloga 22.907 endereços de e-mail únicos, acompanhados de nomes, números de telefone, endereços físicos, datas de nascimento e compras, em um conjunto de dados de um fórum atribuído a esse evento. Esse conjunto de dados separado tem uma estrutura diferente da descrita na notificação oficial sobre o arquivo; 22.907 não é uma contagem oficial de pessoas afetadas, receitas ou pedidos. Nenhum conjunto de dados com informações em nível individual foi importado localmente.

O incidente, por si só, não permite concluir que alguém tenha sido cliente da Hello Cake, comprado um produto de saúde sexual, tido uma receita médica ou usado um medicamento específico. As associações com receitas, medicamentos, pedidos e cuidados de saúde devem permanecer privadas, e apenas quem recebeu uma notificação direta deve se basear nos campos e nas instruções da carta que recebeu.