Vazamento de dados de TheSqua.re

Os tipos de dados verificados são endereços de e-mail, nomes, números de telefone e campos de localização geográfica ou cidade. Um endereço de e-mail pode ser um identificador importante para descobrir se você abriu contas em outros serviços usando o mesmo endereço. Com o campo de nome, um invasor pode personalizar a mensagem; com um número de telefone, mensagens SMS, chamadas e abordagens de falsos atendentes se tornam mais convincentes. A cidade ou localização pode ser associada às suas preferências de viagem, à possibilidade de uma mudança, ao interesse em viagens de trabalho ou à busca por hospedagem em uma região específica. Embora os riscos dessa combinação não sejam tão diretamente evidentes quanto os de um vazamento de senhas, ela tem um valor significativo para a engenharia social.

Como a exposição de senhas e informações de pagamento não foi verificada, você não deve interpretar o incidente equivocadamente como um vazamento de dados de cartões. A gravidade do risco vem da atualidade das informações de contato e do contexto associado a elas. No setor de hospedagem, nome, telefone e cidade podem ser usados em mensagens falsas sobre cancelamento, depósito, check-in antecipado, fatura, estadia corporativa ou ofertas especiais. Para quem procura hospedagem corporativa, um e-mail de trabalho, mesmo sem estar associado ao nome da empresa, pode criar a impressão de um vínculo corporativo. Por isso, se você foi afetado, trate como suspeitas as mensagens que parecem estar relacionadas a hospedagem ou viagens, mas contêm links inesperados.

A data confirmada do vazamento está registrada como 27 de junho de 2025, e o registro foi adicionado a amplos índices de vazamentos em 27 de agosto de 2025. O impacto total corresponde a 107.041 contas de e-mail únicas. Registros confiáveis de vazamentos indicam que os dados estão associados a clientes da TheSqua.re e incluem campos de nome, telefone e e-mail, além de informações de cidade. Relatórios de segurança mais limitados indicam que o incidente se tornou visível por meio de compartilhamentos em fóruns e que, em algumas contagens, o número de linhas e o número de pessoas únicas foram informados de maneira diferente. Portanto, o número de e-mails únicos deve ser usado como a principal métrica, e o número de linhas não deve ser confundido com o número de usuários.

As informações que ficam fora do escopo são pelo menos tão importantes quanto o próprio escopo. Não há evidências verificadas de vazamento de senhas, cartões de pagamento, contas bancárias, passaportes, documentos oficiais de identidade ou conteúdo completo de reservas. Além disso, dados de outras plataformas do mesmo setor da TheSqua.re não devem ser associados a este incidente. O vazamento é classificado como um incidente de dados relacionado aos processos de busca por apartamentos com serviços e de comunicação com clientes. Os campos apresentados a você devem se limitar aos tipos de dados verificáveis; campos adicionais mencionados em alegações de fóruns, mas com pouca verificação independente, não devem ser incluídos no escopo divulgado ao público.

Os principais grupos em risco são pessoas que procuram hospedagem pela TheSqua.re, planejam uma mudança, pesquisam estadias prolongadas em outras cidades por motivos de trabalho ou têm planos de viagens corporativas. Se você enviou uma solicitação com um e-mail de trabalho, pode receber falsas ofertas de hospedagem corporativa ou mensagens sobre faturas. Se compartilhou seu número de telefone pessoal, fica mais vulnerável a fraudes por chamadas e SMS. Em contas com informações de cidade, o invasor pode adaptar a mensagem a uma região específica ou a uma necessidade de viagem, o que favorece abordagens de engenharia social mais convincentes, em vez de simples spam.

Solicitações antigas também podem representar um risco. Mesmo que você tenha procurado hospedagem de curta duração anos atrás e não tenha usado o serviço, seu e-mail e telefone ainda podem ser válidos. O impacto é especialmente mais amplo se o mesmo endereço de e-mail for usado em contas de trabalho, viagens, compras e serviços financeiros. As informações se tornam mais sensíveis quando você busca reservas para familiares, solicita hospedagem em nome de uma empresa ou procura acomodações temporárias em diferentes países. Nesse caso, pode ser difícil distinguir mensagens falsas de mensagens legítimas de empresas de viagens no futuro.

Se você identificar que foi afetado, primeiro confira suas preferências de sessão, contato e notificações na conta da TheSqua.re. Ative a autenticação multifator nas contas críticas que usam o mesmo endereço de e-mail, dando prioridade às contas de e-mail, aos gerenciadores de senhas, às contas financeiras e às plataformas de viagens. Embora não tenha sido confirmado um vazamento de senhas neste incidente, é recomendável trocar a senha se você usa a mesma em vários serviços há muito tempo. Não abra diretamente ofertas de hospedagem, lembretes de pagamento, alterações de reservas ou links apresentados como atendimento ao cliente; acesse o serviço digitando o endereço manualmente no navegador.

Se você foi afetado, não compartilhe informações de pagamento, identidade, cartão ou recuperação de conta durante chamadas inesperadas. Verifique a autenticidade de quem ligou apenas por um canal independente. Lembre-se de que mensagens que mencionam uma cidade podem parecer mais convincentes: por exemplo, um e-mail que se refira a uma cidade onde você já procurou hospedagem não deve ser considerado confiável automaticamente. Se você usa o serviço em um contexto corporativo, informe as equipes de viagens ou de recursos humanos da sua empresa para que tenham cautela com mensagens falsas de hospedagem e faturas.

No longo prazo, usar um endereço de e-mail separado ou um alias para contas de viagens e hospedagem reduz o acúmulo de dados. Compartilhe seu número de telefone apenas nos campos obrigatórios e, se possível, apague as informações dos campos desnecessários do perfil após a conclusão da reserva. Revise regularmente contas antigas de hospedagem, eventos e ofertas; remova suas informações pessoais das contas que não usa mais ou encerre essas contas. Assim, haverá menos dados que poderão ser expostos em um incidente semelhante no futuro.

No ambiente corporativo, os processos de contratação de viagens e hospedagem devem usar grupos de e-mail separados, etapas de verificação de fornecedores e controles de aprovação de faturas. O uso do e-mail da empresa pelos funcionários para buscas individuais de hospedagem pode ser restringido. Treinamentos de segurança devem usar mensagens falsas de hospedagem com informações reais de cidade e telefone como exemplos de cenários. Você também deve manter o hábito de usar um gerenciador de senhas, autenticação multifator robusta e verificações regulares de vazamentos. Essa abordagem não pode reverter completamente um incidente de dados, mas reduz significativamente a probabilidade de uso indevido posterior.

Se o seu resultado aparecer associado à TheSqua.re, considere este incidente um vazamento de dados de identificação e contato. O primeiro passo é proteger sua conta de e-mail e, em seguida, revisar as contas de viagens, hospedagem, serviços financeiros e compras que usam o mesmo e-mail. Se o número de telefone e as informações de cidade também tiverem sido afetados, redobre a cautela com SMS, chamadas e mensagens de ofertas voltadas a uma localização específica. Se você tiver uma solicitação real de hospedagem ou tiver feito uma consulta sobre reserva no passado, considere que esse contexto pode ser usado em mensagens falsas.

Uma correspondência na tela de resultados não significa necessariamente que sua senha ou seu cartão de pagamento tenham sido comprovadamente vazados. Os campos verificados se limitam a e-mail, nome, telefone e localização. Ainda assim, esse conjunto de dados pode ser suficiente para fraudes direcionadas. Antes de apagar mensagens suspeitas, você pode encaminhar o assunto, o remetente e os detalhes dos links à equipe de segurança ou ao prestador de serviço responsável. Mantenha as notificações ativadas nas contas críticas, revise periodicamente os históricos de sessões e não aceite solicitações inesperadas de pagamento relacionadas ao setor de hospedagem sem uma verificação independente.