Crime Stoppers alvo de ação coletiva por fuga de 1,5 milhões de denúncias «anónimas»

Um escritório de advogados canadiano propôs uma ação coletiva contra a Associação Canadiana Crime Stoppers e o seu fornecedor norte-americano Navigate360, por causa de um ataque informático que expôs mais de 1,5 milhões de denúncias enviadas por canadianos a esta linha anónima. A Consumer Law Group anunciou a ação a 30 de outubro, segundo o Daily Hive. O autor principal vive em Dunnville, no Ontário, e deu à Crime Stoppers o nome, a morada, o telefone e o email ao denunciar uma suposta casa de tráfico de droga perto de casa.

O que foi exposto e como se soube

A Crime Stoppers é uma rede de organizações sem fins lucrativos que passa à polícia denúncias sobre crimes e promete anonimato a quem as envia. As secções guardam as denúncias na P3, uma plataforma gerida pela Navigate360. Um grupo de hacktivistas que se apresenta como Internet Yiff Machine roubou os dados em março, dizendo querer provar que a plataforma não era tão «anónima» e «segura» como anunciado. Mais tarde, a organização Distributed Denial of Secrets entregou uma cópia a jornalistas e investigadores.

A 21 de outubro, a CBC News publicou a sua análise da parte canadiana: mais de 1,5 milhões de denúncias de mais de 60 secções ao longo de 25 anos, com dados pessoais em mais de 850 000. A CBC nem sempre conseguiu perceber se esses dados pertenciam a um denunciante, a uma vítima ou a um suspeito. Bastaram, porém, para contactar mais de uma dúzia de denunciantes, alguns dos quais disseram temer represálias. A polícia federal RCMP avisou que a fuga pode pôr em risco denunciantes, pessoas citadas e agentes, e acrescentou que inicialmente lhe disseram que não havia dados canadianos nem pessoais.

A Navigate360 confirmou publicamente o ataque a 23 de outubro. Segundo a empresa, um terceiro não autorizado copiou dados de um dos seus sistemas entre 21 de novembro de 2025 e 5 de março de 2026, e não há indícios de que tenham sido usados para fraude ou roubo de identidade. A Toronto Crime Stoppers diz que a empresa a avisou da fuga a 18 de março, uma semana depois descreveu o sistema como «seguro e totalmente operacional» e depois mudou várias vezes a versão sobre o que tinha sido levado.

O que alega a ação

Segundo a ação, a Crime Stoppers e a Navigate360 guardavam dados pessoais sem os ocultar nem cifrar e mantinham registos durante décadas, mesmo quando já não eram necessários. Alega que entre os dados expostos estavam moradas, telefones, matrículas, dados bancários e números de segurança social, além de informações sobre pessoas citadas nas denúncias, funcionários e polícias. Acusa ainda a Navigate360 de saber da atividade suspeita desde 18 de março e de só avisar os afetados e o público em outubro. Nenhuma destas alegações foi apreciada em tribunal, e a ação coletiva ainda não foi admitida.

A polícia recua, os reguladores têm pouco poder

A 27 de outubro, a CBC contava pelo menos 11 programas da Crime Stoppers que deixaram de aceitar denúncias, incluindo os cinco de Saskatchewan, e 24 serviços de polícia que suspenderam a parceria. Outros continuam a usá-lo: a polícia de Calgary disse à Global News a 30 de outubro que está satisfeita com as medidas de segurança adicionais, e alguns destacamentos da RCMP continuaram a promover o programa.

A 27 de outubro, o comissário de privacidade do Canadá, Philippe Dufresne, abriu uma investigação às medidas de segurança da Navigate360. A própria Crime Stoppers ele não pode investigar: a lei federal de privacidade para o setor privado em geral não se aplica a organizações sem fins lucrativos, e o comissário do Ontário só supervisiona o setor público. A CBC também obteve um memorando de junho em que o presidente da associação aconselhava as secções a não contactar os comissários de privacidade. Michael Geist, professor de Direito na Universidade de Otava, disse à CBC que quem quiser indemnização terá de recorrer a ações coletivas, porque a lei atual oferece pouco.