Vazamento de dados da JCPenney em 2026

Reportagens independentes de 15 de junho documentaram que um agente de ameaça havia listado a JCPenney e algumas marcas associadas, vinculadas à Catalyst Brands e ao Authentic Brands Group, em um site de extorsão. Reportagens posteriores, de 17 de junho, afirmaram que o agente havia publicado dados atribuídos à JCPenney. As reportagens reproduzem alegações envolvendo dados de funcionários, identidade, folha de pagamento e impostos, mas declaram expressamente que não haviam autenticado de forma independente o conjunto completo de dados e que não havia confirmação da empresa.

O conjunto de dados externo, posteriormente adicionado a um registro verificado de vazamento, dá respaldo à contagem exata de e-mails e aos tipos de dados estruturados. Essa verificação não significa que a empresa tenha confirmado o relato do ataque, o agente de ameaça ou o método de acesso inicial. A data de 12 de junho deve ser entendida como a data do registro e da listagem no site de extorsão; a data exata do acesso à rede é desconhecida.

A lista estruturada contém oito categorias: datas de nascimento, endereços de e-mail, números de documentos de identificação emitidos pelo governo, cargos, nomes, números de telefone, endereços físicos e nomes de usuário. O texto descritivo do registro externo também menciona números de seguridade social, enquanto as reportagens independentes reproduzem alegações envolvendo digitalizações de documentos de identidade e documentos de folha de pagamento ou impostos. Não se deve presumir que todos os campos estivessem presentes em cada registro de e-mail.

Senhas, cartões de pagamento, contas bancárias, pedidos de clientes, histórico de compras e dados de programas de fidelidade não são categorias de dados estruturados confirmadas. Embora o registro pareça ter foco em funcionários, o valor de 368.418 não representa uma contagem de funcionários ou pessoas e não deve ser extrapolado para toda a base de clientes da JCPenney.

A inteligência de ameaças do Google confirma uma campanha de extorsão mais ampla direcionada à infraestrutura Oracle PeopleSoft entre 27 de maio e 9 de junho, com a exploração da CVE-2026-35273 como uma vulnerabilidade de dia zero. Esse relatório não menciona a JCPenney. Portanto, a alegação de que os dados da JCPenney foram obtidos por meio da vulnerabilidade do PeopleSoft é mantida como um possível contexto da campanha, e não apresentada como um método de acesso inicial verificado.

O valor de 368.418 corresponde ao número de endereços de e-mail únicos no conjunto de dados externo verificado; não é uma contagem de linhas da fonte, contas de funcionários ou pessoas distintas. Como não houve importação local, esse valor não é exibido como um total local. Uma correspondência também não comprova que todos os oito campos estivessem presentes para a mesma pessoa.

Quem recebeu uma notificação pode monitorar relatórios de crédito, contas fiscais, movimentações na folha de pagamento e portais para ex-funcionários, de acordo com os campos mencionados nas cartas que recebeu. Mensagens inesperadas sobre recursos humanos, W-2, benefícios ou verificação de identidade devem ser confirmadas por outro canal oficial; documentos de identidade e códigos de uso único não devem ser fornecidos por meio de um link suspeito.