Vazamento de dados da McGraw Hill em 2026

Os arquivos distribuídos publicamente continham 13.500.136 endereços de e-mail únicos, enquanto nomes, números de telefone e endereços físicos apareciam apenas em alguns registros e arquivos. Portanto, o total de e-mails únicos não significa que todos os campos expostos afetaram o mesmo número de pessoas. A empresa afirmou que números de seguridade social, informações de contas financeiras e dados de estudantes de suas plataformas educacionais não foram envolvidos. Também não há evidências verificadas de que senhas ou dados de cartões de pagamento estivessem presentes, por isso esses campos não estão listados entre as categorias de dados expostos. A alegação do invasor de que havia 45 milhões de registros não corresponde a uma contagem verificada de contas únicas. Uma pessoa pode aparecer em várias linhas ou arquivos, portanto o total de registros e o número de endereços de e-mail únicos devem ser tratados como medidas diferentes.

O incidente foi associado a um problema de configuração em uma página da McGraw Hill hospedada na plataforma Salesforce, que permitiu acesso não autorizado a um conjunto limitado de dados. A empresa afirmou que a atividade não envolveu acesso não autorizado às suas contas do Salesforce, bases de dados de clientes, materiais de cursos ou sistemas internos. Após a descoberta, as páginas afetadas foram protegidas e uma investigação foi iniciada com especialistas em segurança cibernética. Em 12 de abril, um grupo de criminosos cibernéticos alegou ter 45 milhões de registros com dados pessoais e exigiu pagamento até 14 de abril. Posteriormente, mais de 100 GB foram distribuídos publicamente; a remoção de duplicatas entre vários arquivos identificou 13.500.136 endereços de e-mail únicos. A data de 10 de abril de 2026 é a data atribuída ao incidente no catálogo, enquanto a confirmação e a distribuição pública ocorreram em meados de abril. A causa técnica sustentada pelas evidências é uma exposição decorrente da configuração da página hospedada no Salesforce.

As pessoas em risco mais direto são aquelas cujos endereços de e-mail aparecem nos arquivos distribuídos. Como nomes, números de telefone ou endereços físicos estão presentes apenas em alguns registros, o nível de exposição varia de pessoa para pessoa. Não se deve presumir que todas as pessoas nos arquivos eram estudantes, professores, funcionários ou clientes ativos; as evidências disponíveis não fornecem uma contagem separada de pessoas afetadas para cada grupo. Segundo a empresa, os dados de estudantes em suas plataformas educacionais estavam fora do escopo do incidente. Um resultado positivo não indica que a senha de uma conta foi roubada, pois nenhuma exposição de senhas foi confirmada. Ainda assim, invasores podem usar um endereço de e-mail e um nome conhecidos para elaborar mensagens fraudulentas de redefinição de senha, avisos de compartilhamento de documentos ou mensagens de pagamento.

Antes de acessar um link, verifique de forma independente o domínio do remetente e a finalidade de qualquer e-mail, mensagem de texto ou ligação inesperada que alegue ser da McGraw Hill ou do Salesforce. Tenha cuidado especial quando uma mensagem usar uma fatura, material educacional, encerramento de conta, aviso de direitos autorais ou indenização pelo vazamento como motivo para solicitar uma senha, um código de uso único ou um pagamento. Ative a verificação em duas etapas na sua conta de e-mail e, em seguida, revise as opções de recuperação e as sessões ativas. Como a exposição de senhas não foi confirmada, evite links de redefinição enviados em mensagens não solicitadas; se você reutiliza a mesma senha em outros serviços, substitua-a por uma senha exclusiva em cada conta. Se um número de telefone apareceu no registro, acompanhe as notificações da operadora sobre troca de SIM e fique atento a falsos atendimentos de suporte e tentativas de phishing por voz. Se seu endereço físico foi exposto, verifique de forma independente solicitações de entrega e cobrança que você não reconheça.

Endereços de e-mail e dados de contato costumam permanecer inalterados por anos, portanto o risco não termina algumas semanas após a publicação. Use um gerenciador de senhas para manter uma senha longa e diferente em cada conta e dê preferência à autenticação por aplicativo ou chave de segurança nos serviços importantes. Revise periodicamente as regras de encaminhamento de e-mails, os aplicativos conectados e os endereços de recuperação. Uma mensagem que informa corretamente um nome, endereço ou número de telefone não é automaticamente confiável; entre em contato com a instituição por um site ou número de telefone conhecido. Se um endereço de trabalho ou de uma instituição de ensino foi afetado, encaminhe mensagens suspeitas à equipe de segurança da organização e alerte colegas sobre a mesma campanha. Até informações de contato desatualizadas podem ser usadas para criar uma história convincente sobre uma antiga relação de cliente ou um serviço educacional. Quando surgir outra cópia ou um total diferente, determine se a contagem se refere a pessoas únicas, e-mails únicos, linhas ou dados individuais antes de compará-la com o número estabelecido.

Pesquise no LeakData.io usando um endereço de e-mail que você possa ter usado com a McGraw Hill para verificar se ele consta neste registro. Um resultado positivo significa que o endereço apareceu em pelo menos um arquivo distribuído; não significa que nome, número de telefone e endereço físico estavam todos presentes no mesmo registro. Um resultado vazio não prova a ausência de registros criados com outro endereço, portanto verifique separadamente seus antigos endereços de trabalho, de instituições de ensino e pessoais. Nunca forneça senha, código de uso único, número de matrícula, informações de pagamento ou documento de identidade em resposta a um resultado de pesquisa. Se houver um resultado positivo, proteja primeiro a conta de e-mail e depois revise os serviços importantes que usam esse endereço como nome de usuário ou canal de recuperação. Ao avaliar novos números sobre o vazamento da McGraw Hill, não compare a alegação do invasor de 45 milhões de registros com os 13.500.136 endereços de e-mail únicos como se fossem a mesma medida. Verificações periódicas e a comunicação rápida de contatos suspeitos podem reduzir o risco de phishing após o incidente.