Vazamento de dados da LATAM reforça alerta para empresas sobre segurança digital

Após a confirmação pela LATAM Airlines de um vazamento de dados que expôs informações pessoais de clientes integrantes do programa LATAM Pass, o episódio chama atenção não apenas pela quantidade de dados acessados, mas também pelos riscos decorrentes desse tipo de incidente e pela responsabilidade das empresas na proteção das informações de seus clientes.

Segundo a companhia, o incidente ocorreu em julho de 2026, após a detecção de uma invasão cibernética em seus sistemas, que resultou em acessos e consultas não autorizados a dados dos usuários.

Entre as informações cadastrais acessadas por um endereço IP externo estavam nome completo, data de nascimento, e-mail, telefone, endereço residencial, número de associado LATAM Pass, categoria no programa e status da conta, saldo de milhas, pontos qualificáveis e dados parciais de cartão de crédito, como os primeiros seis e os últimos quatro dígitos, bandeira, nome do titular e data de validade.

Apesar da quantidade e da relevância das informações indevidamente acessadas, a companhia informou que o número completo do cartão de crédito, o código de segurança (CVV), as senhas e os dados bancários não foram afetados e permanecem protegidos.

Em nota, a LATAM informou que, ao identificar o incidente, comunicou os clientes afetados e a Autoridade Nacional de Proteção de Dados (ANPD), além de bloquear endereços IP considerados suspeitos, corrigir o código-fonte do sistema e aplicar travas adicionais de segurança.

O episódio deve ser analisado também à luz da Lei Geral de Proteção de Dados (LGPD). Embora relevantes e potencialmente úteis à prática de fraudes, os dados descritos não se confundem, em princípio, com os “dados pessoais sensíveis” definidos no artigo 5º, II, da legislação.

Isso não significa, entretanto, que sua proteção seja menos importante. A Lei nº 13.709/2018 estabelece, em seu artigo 44, que o tratamento de dados pessoais será irregular quando deixar de observar a legislação ou não fornecer a segurança que o titular pode legitimamente esperar, consideradas as circunstâncias relevantes do tratamento.

Já o artigo 46 da LGPD impõe aos agentes de tratamento o dever de adotar medidas técnicas e administrativas capazes de proteger os dados pessoais contra acessos não autorizados e situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão.

A ocorrência de um incidente de segurança não implica, por si só, a aplicação automática de sanções. A eventual responsabilização depende da análise concreta do cumprimento dos deveres previstos na LGPD, inclusive quanto à adoção de medidas adequadas de segurança, à resposta ao incidente e, quando cabível, à comunicação à ANPD e aos titulares. O descumprimento dessas obrigações pode resultar em responsabilização e na aplicação das sanções previstas em lei, conforme as circunstâncias de cada caso.

Para os usuários, os riscos não devem ser subestimados. Informações como nome, e-mail, endereço, telefone e número de associado podem ser utilizadas por cibercriminosos para tornar abordagens fraudulentas mais convincentes. De posse desses dados, é possível simular irregularidades em contas ou outras situações que induzam a vítima a clicar em links suspeitos, fornecer credenciais ou instalar aplicativos maliciosos.

Por isso, recomenda-se a adoção de boas práticas de segurança digital, como evitar links ou anexos enviados por remetentes desconhecidos, acompanhar movimentações bancárias e saldos de programas de fidelidade, não fornecer senhas ou códigos de verificação e desconfiar de contatos que solicitem providências urgentes. Em caso de dúvida, a orientação é recorrer exclusivamente aos canais oficiais da empresa.

Para as organizações, o incidente reforça uma questão ainda mais ampla. Segurança da informação e proteção de dados pessoais exigem políticas permanentes, investimento contínuo, gestão de riscos, atualização de sistemas, monitoramento e mecanismos eficientes de prevenção e resposta a incidentes, sobretudo diante da crescente sofisticação das ameaças cibernéticas.

Mais do que atender às exigências da legislação, uma atuação preventiva contribui para proteger os titulares e reduzir riscos jurídicos, operacionais e reputacionais. Vazamentos de dados podem comprometer a confiança dos clientes, afetar a imagem da organização, provocar perdas financeiras e gerar impactos sobre sua competitividade.

O caso da LATAM, portanto, serve como um alerta que ultrapassa os limites de uma única companhia. Em um cenário no qual empresas acumulam volumes cada vez maiores de informações pessoais, a proteção de dados não pode ser tratada apenas como uma obrigação a ser cumprida depois de um incidente. Segurança da informação precisa fazer parte permanentemente da gestão de riscos das organizações.

Vitor Henrique Mainardes é especialista em Direito Civil e Empresarial pela PUCPR e advogado no escritório Alceu Machado, Sperb & Bonat Cordeiro Advocacia.

✅Fique por dentro das principais notícias do dia no Brasil e no mundo. Siga o canal do R7, o portal de notícias da Record, no WhatsApp