Para: qualquer pessoa que já tenha tido seguro de automóvel com a AssuranceAmerica nos EUA (segurados, condutores listados e pessoas envolvidas em sinistros), e quem administra um serviço que armazena números de identidade. Este artigo se baseia no comunicado oficial da empresa, em documentos de procuradorias estaduais e em orientações de órgãos públicos dos EUA. Não aborda métodos de ataque.
O que as pessoas afetadas devem fazer hoje
Use seu comunicado para ver exatamente o que foi exposto sobre você
A empresa enviou comunicados às pessoas potencialmente afetadas e publicou o aviso em seu site. O que foi exposto varia de pessoa para pessoa, então primeiro verifique se o seu comunicado menciona um número de Seguro Social ou Tax ID. Se mencionar, o bloqueio de crédito abaixo é sua prioridade máxima. Dúvidas devem ser direcionadas à linha gratuita indicada no comunicado, 1-844-854-2353 (de segunda a sexta-feira, das 9h às 21h, horário da Costa Leste).
Residentes da Califórnia e da Pensilvânia: adiram ao monitoramento até 10 de outubro
A empresa oferece aos residentes da Califórnia e da Pensilvânia um serviço gratuito de monitoramento de crédito por 12 meses. O prazo de adesão é 10 de outubro de 2026, e a adesão é feita entrando em contato com a empresa. O comunicado diz que a adesão não prejudicará sua pontuação de crédito.
Bloqueie o crédito nas três agências
Com o bloqueio de crédito ativo, ninguém consegue abrir uma nova conta de crédito em seu nome. A FTC afirma que solicitar e remover o bloqueio é gratuito e não afeta sua pontuação de crédito. Você precisa entrar em contato com cada uma das agências Equifax, Experian e TransUnion. Você pode suspendê-lo temporariamente quando for solicitar crédito.
Consulte seus relatórios de crédito e procure contas que você não reconhece
Obtenha seus relatórios gratuitos das três agências em annualcreditreport.com e procure cartões, empréstimos ou consultas que você não tenha iniciado. O comunicado da empresa também pede que as pessoas revisem seus relatórios de crédito e extratos bancários e de outras instituições financeiras, e que contatem imediatamente sua instituição financeira sobre qualquer movimentação suspeita.
Informe à agência estadual de veículos motorizados que o número da sua habilitação foi exposto
O guia de recuperação da FTC diz que, se as informações da sua carteira de habilitação foram perdidas ou roubadas, entre em contato com a agência de veículos motorizados mais próxima. O estado pode sinalizar o seu número caso alguém tente usá-lo, ou sugerir que você solicite uma segunda via.
Encontre a agência do seu estado no diretório "State motor vehicle services" do USA.gov. O DMV da Califórnia, por exemplo, tem um formulário específico (INV 35) para solicitar a revisão de fraude do seu registro de carteira de habilitação.
Confirme qualquer pessoa que se apresente como sua seguradora ou corretor ligando de volta
Os dados expostos incluem detalhes de apólice e de sinistros. Uma mensagem dizendo "precisamos verificar sua identidade para o seu sinistro" ou "você tem direito a um reembolso de prêmio" parece convincente porque quem envia conhece os seus dados reais de apólice e sinistro.
Não use números ou links da mensagem; ligue para o número constante dos documentos da apólice ou da carteirinha do seguro (veja o que é phishing?).
Se a fraude realmente acontecer: IdentityTheft.gov e a polícia
Se você encontrar contas ou cobranças que não reconhece, entre em contato com o departamento de fraudes da empresa envolvida e registre a ocorrência no IdentityTheft.gov, da FTC, para obter um plano de recuperação. O comunicado da empresa também aponta que você tem o direito de registrar um boletim de ocorrência policial e que pode entrar em contato com a FTC ou com a procuradoria-geral do seu estado.
Seguro Social ou Tax ID + nome e endereço (algumas pessoas)
↓→
Novo crédito em seu nome
→ Bloqueio de crédito nas três agências / verificação de relatórios
Número da carteira de habilitação + nome e endereço
↓→
Pedidos que solicitam número de habilitação (benefícios, seguros)
→ Contatar a agência estadual de veículos motorizados (sinalização / segunda via)
Detalhes de apólice e sinistros + informações de contato
↓→
Contato convincente se passando por sua seguradora
→ Ligar para o número constante dos documentos da apólice
O que aconteceu (segundo o comunicado da AssuranceAmerica e os registros estaduais)
As informações a seguir são extraídas do comunicado oficial da empresa e dos registros publicados pelas procuradorias-gerais da Califórnia e de Indiana.
16 de março de 2026
Data da atividade maliciosa direcionada a um dos funcionários da empresa, segundo o comunicado.17 de março
A empresa detecta atividade suspeita em determinados sistemas, inicia a investigação e contrata especialistas externos em perícia forense.Durante a investigação
Constata que um terceiro não autorizado acessou determinadas partes de seu ambiente de TI e copiou determinados arquivos de dados.15 de junho
A revisão dos arquivos afetados (para identificar de quem eram as informações contidas neles) é concluída.17 de junho
Data indicada para o registro na lista de violações da Procuradoria-Geral da Califórnia.10 de julho
A empresa publica seu comunicado. A lista do Procurador-Geral de Indiana também mostra notificações enviadas em 10 de julho.10 de outubro (prazo)
Prazo de adesão ao monitoramento de crédito para residentes da Califórnia e da Pensilvânia.
- Exposto (varia por pessoa)
- Nome, informações de contato, informações de apólice ou conta de seguro de automóvel, informações do condutor ou do veículo, informações relacionadas a sinistros, número da carteira de habilitação
- Número limitado de pessoas
- Informações de Tax ID ou número de Seguro Social
- Sequência
- Atividade maliciosa direcionada a um funcionário em 16 de março. Um terceiro acessou parte do ambiente de TI e copiou arquivos de dados
- Resposta da empresa
- Desativou credenciais comprometidas, encerrou sessões não autorizadas, isolou sistemas afetados, notificou as autoridades policiais. Redefiniu senhas, implantou monitoramento reforçado e ferramentas de detecção de ameaças, e deu instrução adicional de segurança cibernética à equipe
- Apoio
- Monitoramento de crédito gratuito por 12 meses para residentes da Califórnia e da Pensilvânia (adesão até 10 de outubro de 2026)
- Detalhes da causa
- Não divulgados, além de "atividade maliciosa direcionada a um dos funcionários da Empresa"
- Contato
- 1-844-854-2353 (de segunda a sexta-feira, das 9h às 21h, horário da Costa Leste)
Como interpretar: o comunicado demorou cerca de quatro meses
A detecção ocorreu em 17 de março; o comunicado foi publicado em 10 de julho. A empresa afirma que, devido à natureza dos arquivos e à abrangência da revisão, a identificação de quem tinha informações neles só foi concluída em 15 de junho. Assim, por cerca de quatro meses após a detecção, as pessoas afetadas não sabiam.
Agora que você tem o comunicado, considere que suas informações podem ter estado nas mãos de outra pessoa por meses, e faça primeiro o bloqueio de crédito e as verificações.
Para que pode ser usado o número da carteira de habilitação nos EUA?
Nos EUA, a carteira de habilitação é o documento de identidade do dia a dia, e seu número é solicitado como campo de identidade em muitos processos:
- Pedidos de crédito
- Cotações e apólices de seguro
- Pedidos de benefícios públicos
Os números expostos aqui estavam em posse de uma seguradora de automóveis. Mesmo sem imagem, nos EUA o número sozinho pode ser informado como campo de identidade em um pedido.
Documentos de órgãos públicos mostram como isso acontece:
- Em um alerta de fevereiro de 2021, o Departamento de Serviços Financeiros do Estado de Nova York (DFS) afirmou que números de carteiras de habilitação roubados foram usados para enviar pedidos fraudulentos de benefícios por pandemia e desemprego, e que a ação parecia coincidir com requisitos de identidade mais rigorosos para esses benefícios.
- O formulário de revisão de fraude do DMV da Califórnia (INV 35) lista estes tipos de fraude de identidade: fraude financeira/com cartão de crédito, uso indevido de número de carteira de habilitação, registro do DMV, acidente e multa. O uso indevido de um número de habilitação pode atingir o próprio histórico de direção, e não apenas o seu dinheiro.
O que o bloqueio de crédito impede
- Abertura de novos cartões de crédito e empréstimos
- Contratos que envolvem consulta ao seu histórico de crédito
- (Segundo a FTC, enquanto o bloqueio estiver ativo ninguém, nem você, pode abrir uma nova conta de crédito em seu nome)
O que o bloqueio não impede
- Pedidos de benefícios públicos (o uso que o DFS alertou)
- Seu histórico de habilitação (um acidente ou multa atribuído à pessoa errada, por exemplo)
- Processos que não envolvem consulta de crédito
Visão deste site: mesmo quando apenas números vazam, contate tanto as agências de crédito quanto o órgão de trânsito
No caso japonês da Times Car, em que imagens de habilitação vazaram, recomendamos o registro de alerta de fraude junto às agências de crédito do Japão. Aqui são números, não imagens, mas como o próprio número pode ser usado para verificações de identidade em pedidos nos EUA, você precisa entrar em contato com dois órgãos:
・As três agências de crédito, para bloquear novos créditos
・A agência estadual de veículos motorizados, para proteger o seu histórico de habilitação
Se você entrar em contato apenas com as agências de crédito, ficam sem resposta usos indevidos que nunca envolvem consulta de crédito, como pedidos de benefícios e o seu histórico de direção.
Por outro lado, no caso holandês da Odido, as autoridades afirmaram que apenas um número não permite abrir empréstimo ou conta bancária. O mesmo vazamento de números de habilitação é mais ou menos grave conforme quais verificações de identidade o número é usado para fazer naquele país. Comparar os três casos mostra isso.
Para quem armazena números de identidade
A empresa não divulgou de qual sistema os arquivos vieram nem como foram obtidos. O que segue são orientações gerais para quem guarda números que podem ser usados em verificações de identidade em pedidos, como números de carteira de habilitação. Não é uma declaração sobre a causa deste incidente.
Não envie números completos para o navegador
O alerta do DFS de 2021 seguiu casos em que números completos e sem ocultação de carteiras de habilitação foram roubados de sites de cotação online instantânea de seguradoras de automóveis. O DFS pediu às empresas que avaliassem se é necessário exibir qualquer informação não pública, mesmo parcialmente ocultada, em sites voltados ao público, e que não a exibam sem uma razão convincente.
Quando a exibição for necessária, nunca envie o número completo para o navegador. Ocultar o número na tela não adianta se o número completo estiver nos dados da resposta.
Limite o que as credenciais de um funcionário podem acessar
A empresa lista, entre suas respostas, a desativação de credenciais comprometidas e a redefinição de senhas. Em geral, garanta que as credenciais comprometidas de uma pessoa não consigam acessar arquivos que abrangem milhões de pessoas: separe permissões por função e coloque aprovação extra ou alerta antes do acesso em massa a arquivos.
Veja como escolher a autenticação multifator e a base mínima de segurança para organizações.
Saiba responder rapidamente 'de quem são os dados aqui?'
A empresa afirma que a identificação das pessoas afetadas levou cerca de três meses, devido à natureza e à abrangência dos arquivos. Se você mantém um inventário de quais arquivos contêm quais tipos de dados pessoais, de quantas pessoas, consegue reduzir o tempo para perceber um incidente. Dados que você não guarda não podem vazar, então defina prazos de exclusão para números que não são mais necessários.
Fontes (registros públicos)
Os fatos deste artigo se baseiam nas informações públicas a seguir. Métodos de ataque não divulgados não são especulados.
- AssuranceAmerica Managing General Agency, LLC, "Notice of Data Breach" (10 de julho de 2026) — app-privacy.assuranceamerica.com
- Procuradoria-Geral da Califórnia, "Submitted Breach Notification Sample: AssuranceAmerica Managing General Agency, LLC" (listado em 17 de junho de 2026) — oag.ca.gov
- Procuradoria-Geral de Indiana, "Data Breach Year to Date Report 2026" (6.998.886 afetados; notificações enviadas em 10 de julho de 2026) — in.gov
- Federal Trade Commission, "Identity Theft: A Recovery Plan" (etapas quando informações da carteira de habilitação são expostas) — consumer.ftc.gov
- FTC, "Credit Freezes and Fraud Alerts" — consumer.ftc.gov / Denúncia: IdentityTheft.gov / Relatórios de crédito gratuitos: annualcreditreport.com
- USA.gov, "State motor vehicle services" (diretório das agências estaduais) — usa.gov
- DMV da Califórnia, "Fraud Review of Driver License/Identification Record (INV 35)" — dmv.ca.gov
- Departamento de Serviços Financeiros do Estado de Nova York, "Cyber Fraud Alert on Campaign to Steal Nonpublic Information (NPI)" (16 de fevereiro de 2021) — dfs.ny.gov
Histórico de atualizações
2026-09-30: Primeira versão, com base no comunicado da AssuranceAmerica de 10 de julho de 2026, nos registros públicos das procuradorias-gerais da Califórnia e de Indiana, e nas publicações da FTC, do DMV da Califórnia e do DFS de Nova York. Atualizaremos se a empresa publicar mais informações.
Leia em seguida
- Se os dados da sua habilitação vazaram: O que fazer quando os dados da sua carteira de habilitação vazam
- Outro caso de número de habilitação nos EUA: Texas Parks and Wildlife (licenças de caça e pesca)
- O caso japonês equivalente: O vazamento da Times Car (imagens de carteira de habilitação vazadas)
- Mesmo padrão no exterior: Odido (Países Baixos: números de passaporte e habilitação) / Quest Apartment Hotels (Austrália: números de cartões e passaporte)
- Golpes que seguem um vazamento: O que é phishing? / Como escolher um gerenciador de senhas
- Outros incidentes de 2026: Lista de vazamentos e ciberataques (Japão e mundo)
- Para operadores: A base mínima de segurança para organizações