O iFood confirmou a ocorrência de um incidente de segurança que resultou na exposição de dados cadastrais de aproximadamente 1,2 milhão de usuários, o equivalente a cerca de 2% de sua base de clientes. Segundo a empresa, o caso está relacionado a um evento ocorrido em dezembro de 2025, que teria sido rapidamente contido por seus protocolos internos de segurança.
A confirmação ocorre após a circulação de alegações em fóruns especializados em cibercrime, onde criminosos afirmaram possuir informações de dezenas de milhões de clientes da plataforma. Inicialmente, foram divulgadas pequenas amostras contendo dados pessoais, mas elas não permitiam confirmar a origem das informações nem a dimensão real do suposto vazamento.
Posteriormente, novos arquivos contendo estruturas mais completas de dados foram analisados. Entre os materiais havia registros relacionados a usuários da plataforma e também a perfis vinculados a órgãos públicos que utilizariam sistemas destinados ao atendimento de solicitações oficiais.
Os documentos analisados indicavam a exposição de informações como nome completo, CPF, telefone, endereço de e-mail, histórico de endereços cadastrados e registros administrativos internos. Em alguns casos, também foram identificados dados relacionados a cartões de pagamento parcialmente mascarados, sem exposição de códigos de segurança, senhas ou informações financeiras completas.
De acordo com os responsáveis pela divulgação dos dados, a origem do incidente estaria ligada a uma vulnerabilidade do tipo IDOR (Insecure Direct Object Reference), uma falha que pode permitir o acesso indevido a informações sem a devida validação de permissões. Os criminosos alegam ter explorado essa vulnerabilidade durante vários meses para extrair informações da plataforma.
O iFood, entretanto, contesta parte dessas alegações. A empresa afirma não ter encontrado evidências que sustentem a existência de um vazamento envolvendo dezenas de milhões de usuários e reforça que o incidente identificado teve alcance significativamente menor.
Segundo a companhia, o evento envolveu apenas dados cadastrais, como nome e CPF, sem comprometimento de senhas, meios de pagamento ou registros financeiros. A empresa também informou que segue atuando em conformidade com a Lei Geral de Proteção de Dados (LGPD) e realizando melhorias contínuas em seus sistemas de segurança.
Especialistas destacam que, embora os dados expostos não sejam classificados como dados sensíveis pela LGPD, informações pessoais como CPF, endereço, telefone e e-mail possuem alto valor para criminosos. Esses dados podem ser utilizados em tentativas de fraude, golpes de engenharia social, roubo de identidade e cruzamento com informações obtidas em outros vazamentos.
Até o momento, permanecem divergências entre a versão apresentada pela empresa e as alegações dos responsáveis pela divulgação dos dados. Não há comprovação independente da quantidade total de registros supostamente obtidos pelos criminosos, nem confirmação pública sobre números superiores aos reconhecidos oficialmente pelo iFood.
Em nota, a empresa lamentou o ocorrido e orientou os usuários a confiarem apenas em comunicações realizadas pelos canais oficiais da plataforma. O caso continua sendo acompanhado por especialistas em segurança digital e poderá receber novas atualizações conforme surgirem informações adicionais.
