Vazamento na Ryde: 4,5 milhões de contas na Noruega, Suécia, Finlândia e Alemanha

O vazamento de dados da Ryde alcançou todos os clientes do serviço de aluguel de patinetes, sem exceção. Cerca de 4,5 milhões de contas na Noruega, Suécia, Finlândia e Alemanha foram copiadas dos sistemas da empresa na madrugada de domingo, 2 de agosto de 2026, das quais aproximadamente 1,6 milhão só na Noruega. A Ryde não contesta a dimensão: nas palavras da própria empresa, isso vale para todo mundo que tem conta.

O que a Ryde diz que aconteceu

Segundo o comunicado da empresa, pessoas não autorizadas chegaram aos sistemas na noite de 1 para 2 de agosto e copiaram dados de clientes antes de o acesso ser fechado. A Ryde afirma que desde então fechou os pontos de entrada identificados, reconstruiu os sistemas afetados e trocou senhas e chaves criptográficas. O incidente foi comunicado à Datatilsynet, a autoridade norueguesa de proteção de dados, e à polícia.

O presidente-executivo Tobias Balchen disse à NRK que pessoas não autorizadas obtiveram acesso e copiaram determinadas informações de clientes, e que isso atinge todos os que têm conta. Ele acrescentou que a empresa não tem indício de quem está por trás e não recebeu qualquer exigência de pagamento nem ameaças. Vale guardar esse último ponto, porque ele tranquiliza menos do que parece: um conjunto de dados pessoais roubado sem resgate atrelado tem mais chance de ser vendido ou simplesmente publicado.

O que saiu e o que não saiu

Saíram números de telefone, endereços de e-mail, datas de nascimento, os seis primeiros e os quatro últimos dígitos dos cartões de pagamento, o histórico de pagamentos com corridas, compras e taxas, e o local onde a conta foi criada. Para parte dos clientes, somam-se nome e endereço não verificados.

Duas coisas não saíram, e as duas importam. Os números completos dos cartões ficam com o provedor de pagamento e não com a Ryde, então não é preciso bloquear cartão. E o histórico de percursos não foi afetado: a empresa afirma não haver indícios de que os dados sobre onde você circulou tenham sido atingidos. Se você leu um resumo dizendo que suas rotas vazaram, esse resumo estava errado. O que vazou foi o rastro do dinheiro, não o mapa dos seus deslocamentos.

Por que os seis primeiros dígitos importam

Os seis primeiros dígitos de um cartão são o identificador do emissor. Não são secretos, mas apontam qual banco emitiu o cartão. Junto com os quatro últimos, que é exatamente o que um banco imprime no extrato, permitem escrever para você citando o seu banco e o final visível do seu próprio cartão.

Acrescente data de nascimento, telefone e um histórico de pagamentos que mostra quanto você gastou de fato e quando, e a mensagem deixa de parecer spam. É por isso que um vazamento num aplicativo de patinetes vira um problema bancário: o atacante não precisa dos sistemas do seu banco, apenas de detalhes suficientes para soar como ele.

O problema do BankID e das senhas do banco

O conselho da própria Ryde é o certo e merece ser repetido inteiro: nunca entregue senhas, códigos bancários ou credenciais do BankID a quem entra em contato com você, por mais convincente que pareça. Na Noruega e na Suécia, o BankID não é só um login, é uma assinatura juridicamente vinculante. Quem conduz você por uma confirmação de BankID consegue movimentar dinheiro e firmar contratos em seu nome. Na Finlândia esse papel cabe às credenciais de banco on-line da Finnish Trust Network, e na Alemanha à confirmação TAN no aplicativo do banco.

Os telefones vazados puxam para o jogo também os aplicativos de pagamento ligados ao número. Vipps na Noruega, Swish na Suécia e MobilePay na Finlândia funcionam justamente pelo número de celular, o único identificador que esse vazamento entregou de cada cliente. Um pedido de pagamento que chega num desses aplicativos não traz cabeçalho de e-mail para inspecionar nem link para passar o mouse, e cai onde as pessoas estão acostumadas a aprovar depressa.

O padrão a esperar é uma ligação ou mensagem que começa com detalhes que só o seu banco deveria saber, cria urgência em torno de um pagamento suspeito e termina pedindo que você confirme algo. Nenhum banco, nenhuma polícia e nenhuma empresa precisa que você dite um código ou aprove uma confirmação de identidade que não foi você quem iniciou. Se a ligação seguir esse caminho, a resposta certa é desligar e ligar para o número impresso no seu próprio cartão.

O que fazer na Noruega, Suécia, Finlândia e Alemanha

• Não bloqueie o cartão: os números completos não foram expostos. Bloquear gera transtorno sem reduzir o risco real, que é engenharia social.
• Trate qualquer contato sobre esse vazamento como hostil até prova em contrário: os atacantes leem as mesmas notícias que você, e a primeira onda de phishing depois de um vazamento público costuma vir com o nome da empresa atingida.
• Olhe os valores pequenos, não os grandes: cobranças de teste são propositalmente insignificantes, e o histórico de pagamentos desse vazamento diz ao atacante qual valor parece normal para você.
• Troque a senha se ela era repetida: a Ryde diz ter substituído as senhas do lado dela, mas se a mesma abre o seu e-mail, é essa conta que precisa ser arrumada hoje.
• Saiba onde reclamar: a Ryde é norueguesa, então a Datatilsynet atua como autoridade principal em todo o caso. Quem mora na Suécia pode acionar a IMY, na Finlândia o gabinete do Ombudsman de Proteção de Dados e na Alemanha a autoridade do seu estado; pelas regras de balcão único, cada uma repassa à autoridade principal.
• Vigie o telefone, não só a caixa de entrada: os números vazaram junto com o resto, o que coloca em jogo SMS, ligações e pedidos de pagamento no Vipps, Swish ou MobilePay, e nenhum deles passa por filtro de e-mail.

Por que isso importa além de quem anda de patinete

Um aplicativo de patinete é uma miudeza em que a gente se cadastra de passagem, e no fim guardava data de nascimento, telefone, identificador de banco e registro de gastos. Esse é o custo real da camada conveniente do "entre com o seu número de telefone" sobre a qual se apoia a maior parte dos serviços de mobilidade urbana, e é a mesma aritmética por trás das credenciais que apareceram no banco aberto com 24 bilhões de senhas vazadas e por trás da invasão de uma base jurídica da polícia britânica. Sobre os limites honestos: uma VPN não teria evitado nada disso, porque os dados foram tirados dos servidores da empresa e não da sua conexão. Onde as ferramentas de privacidade de rede ajudam é na etapa seguinte, já que filtragem de DNS e listas de bloqueio impedem boa parte das páginas de phishing de carregar, e dar menos dados verdadeiros a um serviço encolhe o que um vazamento futuro poderá levar.

Conclusão