Violação de dados da Wedbush Securities em 2025

A principal evidência é o comunicado da Wedbush Securities aos consumidores, datado de 20 de novembro de 2025 e publicado nos registros dos órgãos reguladores de Massachusetts e da Califórnia. Em nome da empresa, a carta descreve diretamente a aplicação acessível pela web com configuração incorreta, o período de acesso, as datas da revisão, os campos de dados envolvidos para cada pessoa, as medidas de contenção no ambiente e os serviços de proteção de identidade.

O registro da Procuradoria-Geral da Califórnia fornece uma segunda via oficial de divulgação. A Claim Depot relaciona os registros dos dois estados à carta aos consumidores e apresenta, de forma independente, um resumo da cronologia e das categorias de dados. As fontes são consistentes quanto à organização, à configuração incorreta, ao período de 17 de maio a 11 de julho e ao escopo, que envolve nomes, nomes de instituições financeiras, números de conta e SSNs.

Por volta de 11 de julho, a Wedbush descobriu que uma aplicação interna acessível pela web estava configurada incorretamente de uma forma que possibilitava o acesso não autorizado. A empresa rapidamente protegeu a aplicação e começou a investigar a natureza e o alcance do possível acesso. A revisão constatou que agentes não autorizados podem ter acessado um conjunto limitado de dados de clientes na aplicação entre 17 de maio e 11 de julho.

A carta pública não afirma que arquivos específicos tenham sido comprovadamente baixados ou extraídos; sua avaliação é de que os agentes “podem ter tido acesso”. Ela também não identifica o agente, o método de descoberta inicial, o mecanismo de autenticação nem os detalhes técnicos da configuração incorreta.

As informações nos arquivos afetados variavam de pessoa para pessoa, mas poderiam incluir o nome do cliente, o nome da instituição financeira correspondente, um número de conta e um número do Seguro Social. Em conjunto, esses campos geram um risco significativo de golpes direcionados em que alguém se passa por um banco ou uma corretora, de solicitações fraudulentas de verificação de conta e de roubo de identidade.

O anexo com orientações de proteção lista datas de nascimento, endereços e documentos de identificação emitidos pelo governo como itens que, em geral, podem ser exigidos para solicitar um congelamento de crédito. Essa seção não confirma que esses campos estavam acessíveis no incidente.

O nome de uma instituição financeira pode ajudar um invasor a direcionar um ataque a uma pessoa com base em uma relação real com um banco ou uma corretora. Um número de conta pode ser usado indevidamente em solicitações fraudulentas de transferência, golpes de verificação de conta ou tentativas de se passar pelo atendimento ao cliente. O risco é maior quando esse dado é combinado com um SSN, embora um número de conta, por si só, não signifique que uma senha ou o acesso à conta tenham sido comprometidos.

O comunicado oficial não informa tipo de conta, número de roteamento bancário, saldo ou posição, histórico de transações, número de cartão de pagamento, PIN, senha de acesso online ou código de autenticação multifator. Os clientes devem acompanhar suas contas para identificar transferências desconhecidas, novos beneficiários, alterações nos dados de contato e mudanças nas configurações de segurança.

Os registros públicos estaduais não apresentam um total nacional sem contagem duplicada. Uma contagem de residentes de Massachusetts ou da Califórnia, caso esteja disponível, não pode ser tratada como o total de pessoas afetadas em todo o país.

A Wedbush afirmou que, até a data da carta, não tinha conhecimento de tentativas de uso indevido nem de uso indevido efetivo das informações relacionadas ao incidente. Essa é uma constatação favorável até aquela data, não uma garantia contra fraudes futuras. Como SSNs e números de conta são identificadores duradouros ou sensíveis, o monitoramento de crédito e de contas financeiras a longo prazo continua sendo uma medida adequada para os destinatários.

A empresa protegeu a aplicação, tomou medidas imediatas para proteger o ambiente, notificou as autoridades policiais, iniciou uma investigação sobre o alcance do incidente e revisou políticas e procedimentos. Foram oferecidos às pessoas elegíveis, por meio da Cyberscout, 12 meses de monitoramento gratuito de crédito em uma única agência de crédito, um relatório de crédito, uma pontuação de crédito e assistência proativa contra fraudes.

Os destinatários devem se cadastrar somente com o código da própria carta e revisar extratos de conta e relatórios de crédito em busca de consultas ou transações desconhecidas. Quando um SSN estiver envolvido, pode ser adequado solicitar o congelamento de crédito nas três agências, um alerta de fraude e um PIN de proteção de identidade do IRS. Uma linha de atendimento está disponível pelo número 833-467-0739, das 8:00 da manhã às 8:00 da noite, no horário do leste dos Estados Unidos, de segunda a sexta-feira.