Violação de dados da SoFi Hong Kong em 2026

Em um e-mail aos clientes, a SoFi Hong Kong afirmou ter detectado acesso não autorizado, por meio de um de seus fornecedores, a um banco de dados pertencente à SoFi Securities (Hong Kong) Limited. Separadamente, um porta-voz da empresa confirmou a violação ao BleepingComputer. Essas declarações de fontes primárias confirmam que houve acesso a dados sob responsabilidade de um fornecedor terceirizado, e não apenas atividade suspeita.

30 de abril é a data em que a empresa detectou o acesso, não a data do acesso inicial do invasor nem uma indicação de quanto tempo ele permaneceu no banco de dados. O relato público não identifica a vulnerabilidade explorada, a conta comprometida, a rota de rede nem o método de exfiltração. Como o fornecedor não foi identificado, nenhuma plataforma ou empresa é apontada como tecnicamente responsável.

A SoFi confirmou o acesso a um banco de dados de clientes, mas afirmou que ainda não sabia se havia categorias de dados pessoais envolvidas nem quais seriam elas. A empresa não confirmou individualmente o envolvimento de nomes de clientes, dados de contato, documentos de identidade, números de contas, histórico de transações, hashes de senhas ou registros financeiros.

Essa descrição ampla identifica o tipo de sistema sem afirmar que todos os campos de dados dos clientes foram roubados. Este registro poderá ser atualizado com categorias mais específicas se a investigação determinar quais linhas e campos foram visualizados ou copiados.

A SoFi não divulgou quantos clientes foram afetados, e seu porta-voz não quis responder a perguntas adicionais sobre esse ponto. O número total de clientes ou contas da SoFi Hong Kong não corresponde ao total afetado pela violação, e não foi confirmada a cópia de todo o banco de dados. A organização não publicou um total verificável de pessoas afetadas ou de registros. A ausência de um número divulgado não significa que o incidente não tenha causado impacto; significa que as fontes públicas não fornecem um total confiável.

Zero não significa que o incidente não tenha envolvido clientes ou não tenha causado impacto. As notificações aos clientes e o monitoramento adicional das contas afetadas indicam um possível impacto sobre pessoas, mas não fornecem um total de pessoas distintas.

O acesso confirmado ocorreu em um banco de dados mantido por um fornecedor externo em nome da SoFi Hong Kong. A divulgação não afirma que todos os sistemas bancários, de crédito, de investimentos ou de outros serviços operados pela SoFi Technologies nos Estados Unidos foram comprometidos.

Como não foram divulgados a identidade do fornecedor nem eventuais impactos sobre seus outros clientes, o incidente não deve ser agrupado com casos sem relação com ele na cadeia de fornecimento. A expressão fornecedor terceirizado também não comprova que um produto SaaS, um provedor de nuvem ou uma integração específica tenha sido o vetor de ataque. A atribuição técnica permanece em aberto até que surjam evidências que a sustentem.

Após a detecção, a SoFi contratou uma empresa externa de segurança cibernética para responder ao incidente e investigar sua extensão e seu impacto. Foram aplicadas medidas adicionais de proteção e monitoramento às contas afetadas. A empresa informou que solicitações de suporte ou alterações nas contas poderiam exigir que os clientes fornecessem informações adicionais de verificação.

Os clientes foram orientados a ficar atentos a e-mails e mensagens suspeitos, tentativas de phishing e atividades incomuns nas contas. A SoFi recomendou atualizar as senhas, ativar a autenticação de dois fatores quando possível, monitorar as contas financeiras e evitar links ou anexos em mensagens não solicitadas. Essas são medidas de precaução e não comprovam uma exposição específica de senhas ou dados financeiros.

Este registro confirma o acesso não autorizado a um banco de dados de clientes da SoFi Hong Kong; não identifica quais campos de dados pessoais foram acessados nem quantas pessoas foram afetadas. Números de pessoas, campos de dados e alegações de agentes de ameaça que não tenham sido verificados não são considerados parte do escopo público do incidente. O conteúdo preserva as incertezas declaradas na investigação.

A conclusão verificada é que a SoFi Hong Kong detectou acesso não autorizado a um banco de dados de clientes mantido por um fornecedor terceirizado em 30 de abril de 2026, contratou especialistas externos, alertou os clientes e aplicou proteções adicionais. Não foram divulgados a identidade do fornecedor e do invasor, o método técnico, o número de pessoas, as categorias acessadas nem a extensão da cópia dos dados. Por isso, este registro usa uma categoria ampla de dados e um total desconhecido.