Vazamento de dados da Kemper em 2026

O agente de ameaça alegou ter publicado mais de 29 GB e mais de 13 milhões de registros obtidos do ambiente Salesforce da Kemper. Pesquisadores independentes observaram, em uma amostra, pastas identificadas como SharePoint, Azure, Salesforce e Stripe, além de documentos internos, nomes e e-mails de funcionários e registros de transações. O comunicado da empresa confirma a investigação de um incidente, mas não confirma as alegações de 13 milhões de linhas, o volume de dados ou o método de acesso inicial.

O valor de 269.299 mede os endereços de e-mail únicos no conjunto de dados externo publicado. A alegação do agente de ameaça de mais de 13 milhões de linhas não corresponde a uma contagem de pessoas ou contas e não foi integralmente autenticada de forma independente. Linhas repetidas de registros e e-mails únicos são medidos em unidades diferentes; por isso, os números não são somados nem tratados como equivalentes. A data de 15 de abril corresponde à inclusão no catálogo externo e à publicação dos dados; a data do acesso inicial ao sistema não foi divulgada.

O índice externo verificado lista seis categorias estruturadas: endereços de e-mail, nomes, números de telefone, endereços físicos, compras e dados parciais de cartões de pagamento. A descrição do índice identifica os campos parciais dos cartões como os últimos quatro dígitos, as datas de validade e as bandeiras dos cartões. Não se deve presumir que todos os campos estivessem presentes para cada endereço de e-mail ou que pertencessem à mesma pessoa.

Os pesquisadores independentes também observaram que a amostra do Stripe que puderam examinar não continha números de cartão nem informações de contas bancárias explícitos. Esse resultado, limitado à amostra, não corresponde à mesma medida da categoria de dados parciais de cartões listada no conjunto de dados externo mais amplo. Números completos de cartões, contas bancárias, números de seguridade social, senhas e números de apólices não estão entre as categorias estruturadas verificadas.

As fontes associam o episódio a uma campanha mais ampla de engenharia social contra centenas de clientes do Salesforce; o comunicado público da Kemper não confirma o método de acesso inicial ao seu próprio ambiente. O domínio ativo da empresa confirma sua identidade como prestadora de serviços de seguros, mas, por si só, não confirma a atribuição técnica.

No ambiente de produção, não há tarefa de importação da Kemper, e todas as coleções locais de dados pessoais contêm zero vínculos. Portanto, os 269.299 e-mails únicos não representam a cobertura da busca local. Quem recebeu uma notificação relacionada ao incidente pode verificar mensagens inesperadas sobre pagamentos ou apólices por meio de uma conta já existente vinculada à apólice ou de um canal oficial obtido de forma independente; a presença de alguns dados de contato corretos em uma mensagem não prova que ela seja confiável.