Para: usuários da Ricardo, o marketplace on-line suíço (compradores, vendedores e usuários empresariais). Este artigo se baseia no anúncio oficial da controladora da Ricardo, o SMG Swiss Marketplace Group, e não trata de técnicas de ataque.
Em andamento: este artigo será atualizado conforme a organização publicar mais informações
- Quem é afetado
usuários da Ricardo, o marketplace on-line suíço (compradores, vendedores e usuários empresariais).
- Confirmado até agoraVer a tabela ↓
- Nomes, endereços postais, telefones
- Nomes de empresas (usuários empresariais)
- Escala
Mais 3
- Data da detecção
- Correção da vulnerabilidade
- Comunicação às autoridades
- Ainda não confirmado
- Natureza da vulnerabilidade
- Período do acesso não autorizado
- Se os dados expostos foram publicados ou usados indevidamente
Mais 1
- Como usuários que não foram contatados podem verificar
- O que fazer agoraVer os passos ↓
- Não responda a pedidos de dados de cartão nem de logins de banco ou do TWINT
- Não abra links; acesse a Ricardo pelo app ou por um favorito
- Trate cartas inesperadas sem usar os contatos que elas trazem
Mais 2
- Confira o aviso direto da Ricardo pelo app
- O anúncio não pede troca de senha
- Onde verificar (fonte)Todas as fontes ↓
- SMG Swiss Marketplace Group, «Ricardo fixes security vulnerability affecting user data» (9 de outubro de 2026; também em alemão e francês)
- Última verificação
- Em 31 de outubro de 2026
Próximos avisos e o que verificamos
O anúncio de 9 de outubro não menciona planos de atualização. Em 31 de outubro, nenhuma atualização sobre o caso aparece na lista de comunicados à imprensa do SMG.
O que os usuários da Ricardo devem fazer hoje
Não responda a pedidos de dados de cartão nem de logins de banco ou do TWINT
Com nomes e telefones juntos, ligações e SMS que dizem vir do suporte da Ricardo ou da outra parte de uma negociação podem parecer genuínos. Em declaração à SRF, uma porta-voz do SMG pediu cuidado especial com cartas, ligações e mensagens de SMS ou WhatsApp inesperadas que peçam dados sensíveis, como dados de cartão de crédito ou logins de banco ou do TWINT (um app suíço de pagamento móvel).
Não responda a quem pedir esses dados e desligue. Saber seu nome ou endereço não prova quem a pessoa é.
Não abra links; acesse a Ricardo pelo app ou por um favorito
Não abra links em mensagens que se passam por avisos de negociação ou pedidos para «receber seu pagamento». Para verificar, abra você mesmo o app da Ricardo ou acesse o site por um favorito (como identificar: O que é phishing?).
Trate cartas inesperadas sem usar os contatos que elas trazem
Endereços postais também foram expostos. Se chegar uma fatura ou um aviso que você não reconhece, não use a URL, o código QR ou o telefone que ele traz; confirme com o contato oficial que você mesmo procurar. É uma orientação geral; a empresa não disse que cartas assim estão sendo enviadas.
Confira o aviso direto da Ricardo pelo app
A empresa diz que está informando diretamente os usuários afetados sobre o incidente, suas implicações e as precauções que podem tomar. Se não tiver certeza de que um aviso é genuíno, confira na tela da Ricardo que você abre pelo app ou por um favorito, e não pelos links do aviso.
O anúncio não pede troca de senha
A empresa afirma que endereços de e-mail e senhas não foram afetados. Se você reutiliza a mesma senha em outros serviços, revisar isso é uma boa prática em geral, mas não é um passo exigido por este incidente (veja: Como funcionam os gerenciadores de senhas e como escolher um).
O que aconteceu (segundo o anúncio do SMG Swiss Marketplace Group)
O que segue se baseia no anúncio que o SMG Swiss Marketplace Group publicou em 9 de outubro de 2026 (em inglês, alemão e francês).
7 de outubro de 2026
A Ricardo detecta atividade suspeita em seus servidores e inicia imediatamente medidas técnicas para proteger seus sistemas.9 de outubro
O SMG anuncia o acesso não autorizado a dados pessoais vinculados a pedidos e que a vulnerabilidade foi corrigida. Afirma que dados pessoais relativos a cerca de 890 mil contas foram expostos e que o FDPIC foi notificado.Em 31 de outubro
Nenhuma atualização sobre o caso aparece na lista de comunicados à imprensa do SMG.
Exposto (cerca de 890 mil contas)
Nome, endereço postal, telefone. Nome da empresa para usuários empresariais
Não afetado (empresa)
E-mail e senha. Dados de pagamento não são mencionados
Os itens expostos são dados de telefone e endereço postal, então fique atento sobretudo a ligações, SMS, apps de mensagens e cartas. E-mails golpistas continuam possíveis de modo geral.
- O que aconteceu
- Acesso não autorizado a dados pessoais vinculados a pedidos na plataforma Ricardo
- Dados expostos
- Nomes, endereços postais e números de telefone; nomes de empresas para usuários empresariais. A empresa afirma que os dados expostos se limitaram a esses
- Não afetados (empresa)
- Endereços de e-mail e senhas
- Escala
- Cerca de 890 mil contas de usuário
- Causa
- Uma vulnerabilidade de segurança que permitiu o acesso; a empresa diz que está totalmente resolvida. Sua natureza não foi divulgada
- Aviso aos usuários
- Os usuários afetados são informados diretamente sobre o incidente, suas implicações e as precauções que podem tomar
- Comunicações
- FDPIC notificado. Estão previstas uma queixa-crime na polícia e uma comunicação ao Centro Nacional de Cibersegurança (NCSC)
O que se sabe e o que não se sabe
Situação em 31 de outubro de 2026. Quando houver atualização, a coluna de situação será atualizada.
| Item | O que diz o anúncio | Situação |
|---|---|---|
| Nomes, endereços postais, telefones | Expostos em cerca de 890 mil contas | Vazamento confirmado (empresa) |
| Nomes de empresas (usuários empresariais) | Expostos | Vazamento confirmado (empresa) |
| Endereços de e-mail | Não afetados | Não incluídos (empresa) |
| Senhas | Não afetadas | Não incluídos (empresa) |
| Dados de pagamento (cartões, contas bancárias) | Não mencionados | Não informado |
| Escala | Cerca de 890 mil contas de usuário (não pessoas) | Confirmado (empresa) |
| Data da detecção | 7 de outubro de 2026 | Confirmado (empresa) |
| Correção da vulnerabilidade | Totalmente resolvida | Confirmado (empresa) |
| Natureza da vulnerabilidade, período de acesso | Não informados | Em investigação |
| Publicação ou uso indevido dos dados | Não mencionados. A SRF informou que uma porta-voz do SMG disse à agência de notícias AWP que os dados nunca estiveram livremente acessíveis e que até agora não houve extorsão nem pedido de resgate | Não informado |
| Comunicação às autoridades | FDPIC notificado; polícia e NCSC previstos | Confirmado (empresa) |
Como ler: «não informado» não significa «não aconteceu»
Dados de pagamento e uso indevido dos dados simplesmente não são mencionados no anúncio. Endereços e telefones já foram expostos, então aja partindo do princípio de que podem ser usados depois em contatos golpistas.
Para que nomes, endereços e telefones podem ser usados
De modo geral, combinações como estas podem ser usadas indevidamente das formas abaixo. Isso não significa que tenha acontecido aqui.
- Nome + telefone: ligações ou SMS que se passam pelo suporte da Ricardo ou pela outra parte de uma negociação, com o pretexto de «receber seu pagamento» ou «verificar sua conta», para obter dados de cartão ou logins
- Nome + endereço postal: cartas que se passam por faturas ou avisos de reembolso e levam a um site ou telefone falso
- Nome da empresa + telefone (usuários empresariais): ligações que se passam por um parceiro comercial ou sua equipe e propõem mudar os dados de pagamento
Um exemplo anterior: no vazamento de dados de clientes da ENGIE, em que vazaram dados de contato e números de contrato, o principal alerta foi sobre ligações que se passavam pela empresa. Este caso pode não seguir o mesmo caminho.
Para operadores: por quanto tempo manter dados de contato vinculados a pedidos
A causa não foi divulgada. Esta seção não avalia a resposta da Ricardo; é uma verificação geral com base nos itens expostos.
- Decida por quanto tempo manter endereços e telefones vinculados a pedidos. Segundo o anúncio, os dados expostos eram dados pessoais vinculados a pedidos. Decidir quando apagar, ou exibir menos, o endereço e o telefone de um pedido concluído reduz o que pode ser exposto em um incidente.
- Diga aos usuários o que você nunca pede. Um aviso que afirme «nunca pedimos dados de cartão nem logins por telefone ou mensagem», enviado junto com o aviso direto, facilita para os usuários identificar contatos falsos.
Fontes (registro público)
Os fatos deste artigo se baseiam nas informações públicas abaixo. Não especulamos sobre rotas de invasão ou métodos não divulgados.
- SMG Swiss Marketplace Group, «Ricardo fixes security vulnerability affecting user data» (9 de outubro de 2026; também em alemão e francês) — swissmarketplace.group
- O mesmo, comunicado à imprensa (PDF, 9 de outubro de 2026) — swissmarketplace.group
- SRF, ««Keine Erpressung» – Ricardo meldet Datenleck bei 890'000 Konten» (9 de outubro de 2026, em alemão). Fonte do alerta da porta-voz do SMG e da declaração de que não houve extorsão nem pedido de resgate — srf.ch
Histórico de atualizações
2026-10-31: Primeira versão, com base no anúncio do SMG Swiss Marketplace Group de 9 de outubro e na reportagem da SRF. Em 31 de outubro, nenhuma atualização sobre o caso aparece na lista de comunicados à imprensa da empresa. Atualizaremos este artigo quando houver novidades.
Leia em seguida
- Caso do mesmo tipo: Vazamento de dados de clientes da ENGIE
- Como identificar golpes posteriores: O que é phishing?
- Outros incidentes de 2026: Vazamentos de dados e ciberataques de 2026