Meus dados vazaram: o que fazer (caso Ticketmaster)

Em 14 de outubro de 2026, a Ticketmaster começou a avisar clientes no Brasil de que dados de contas foram expostos em um incidente de segurança. Se você recebeu esse aviso, ou se um dia recebe um aviso parecido de qualquer empresa, o que fazer nas primeiras 24 horas é praticamente o mesmo. Este texto explica o caso, o risco real e os passos que valem a pena, sem alarmismo.

O que a empresa informou

Segundo as reportagens do Canaltech e do Olhar Digital, a Ticketmaster afirma que:

o incidente foi confirmado após uma investigação com especialistas externos, concluída em setembro;
a causa foi uma vulnerabilidade temporária em uma ferramenta terceirizada de análise de dados, e não o banco usado para vender ingressos ou gerenciar perfis;
foram afetados perfis que compraram ingressos durante 2025;
foram expostos nome completo, gênero, faixa etária ou data de nascimento, CPF ou documento usado na compra, telefone, e-mail, endereço (cidade, estado e bairro) e dados da compra, como o método de pagamento e os quatro últimos dígitos do cartão;
senhas, números completos de cartão, contas bancárias e credenciais de acesso não foram envolvidos, e a plataforma de venda de ingressos e os sistemas de contas não foram afetados;
o caso também foi comunicado à ANPD.

As reportagens não informam quantas pessoas foram afetadas, qual é o fornecedor da ferramenta nem se os dados foram usados de forma indevida. Os fatos acima são a versão da empresa, e vale conferir o comunicado que ela enviou a você. Este texto reúne informações públicas até 20 de outubro de 2026 e será atualizado se a empresa ou a ANPD divulgarem novos dados. O canal que a empresa indicou para dúvidas é incidente-dados@ticketmaster.com.br.

Por que vazamento sem senha ainda é perigoso

Quando o assunto é vazamento, a primeira pergunta costuma ser "roubaram minha senha?". Neste caso, a empresa diz que não. O risco está em outro lugar: quem tem seu nome, CPF, e-mail, telefone e dados de uma compra recente consegue falar com você como se fosse a empresa.

Os golpes mais comuns nesse cenário são:

Falso contato da empresa, por e-mail, SMS ou WhatsApp, citando um ingresso real que você comprou e pedindo para "confirmar" um pagamento, "regularizar" um problema ou clicar em um link.
Falso suporte ou falso advogado, que usa o CPF e a compra para parecer legítimo e pedir um pagamento ou um código.
Tentativa de abrir contas ou pedir crédito em seu nome, com CPF e dados pessoais.

Em todos os casos, a defesa é a mesma: desconfiar de qualquer contato que você não pediu, por mais completo que seja o dado que a pessoa cita.

O que fazer nas primeiras 24 horas

Confirme o aviso pelo canal oficial. Não clique em links da mensagem. Digite o endereço oficial da empresa no navegador ou use o canal informado no comunicado. A Ticketmaster diz que seus canais oficiais não pedem senhas nem dados de pagamento sem aviso.
Troque a senha da conta, mesmo sem credenciais expostas, e troque também nos outros sites em que você usava a mesma. Use uma senha diferente em cada serviço e, de preferência, um gerenciador de senhas.
Ative a verificação em duas etapas no e-mail, no banco e nas redes sociais. É o que impede o uso de uma senha vazada.
Desconfie de contatos inesperados nas próximas semanas, sobre ingressos, reembolsos, boletos ou "problemas" na compra.
Confira a fatura do cartão nos próximos meses e conteste o que não reconhecer.
Guarde o aviso e os protocolos, caso precise cobrar a empresa.

O que a lei garante a você

A LGPD (Lei nº 13.709/2018) coloca a segurança dos dados como dever de quem os trata (art. 46) e determina que o incidente que possa causar risco ou dano relevante seja comunicado à ANPD e ao titular (art. 48). A Resolução CD/ANPD nº 15/2024 regulamenta essa comunicação, com prazo de 3 dias úteis para avisar a ANPD.

Como titular, você pode pedir à empresa que confirme se trata seus dados e que dê acesso a eles (art. 18). Se não houver resposta adequada, a ANPD mantém canais para o titular, com denúncia e peticionamento. Se o incidente se enquadra como de risco relevante, e se a empresa agiu como a lei pede, é uma análise de cada caso. Este texto é informativo e não substitui orientação jurídica.

O que este caso ensina às empresas

O caso tem uma lição prática para qualquer negócio: segundo a própria empresa, a falha estava em uma ferramenta terceirizada fora do sistema principal. Isso não é raro: segundo o relatório da IBM de 2025 para o Brasil, 15% das violações analisadas envolveram terceiros e a cadeia de fornecimento, com custo médio de R$ 8,98 milhões.

Para uma empresa, vale perguntar:

Quais fornecedores recebem dados de clientes, e o que eles guardam?
Quem tem acesso a essas bases e com qual proteção, como MFA e controle de permissões?
Existe plano de resposta, com quem avisar e em quanto tempo, já que a comunicação à ANPD tem prazo?
Os dados são mantidos só pelo tempo necessário? Dado que a empresa não guarda não pode vazar.

Em segurança, quem protege os computadores e servidores onde esses dados circulam também precisa de detecção e resposta. Veja como funciona em EDR e XDR e o que a LGPD pede em segurança e LGPD.

Precisa de ajuda na sua empresa?

A Codlinx, Parceira Oficial Bitdefender e Microsoft, ajuda empresas a revisar a proteção de endpoints, o acesso com MFA e o preparo para comunicar incidentes. O atendimento é de segunda a sexta, das 8h às 20h, com retorno em até 24 horas úteis. Peça um diagnóstico gratuito.

Perguntas frequentes

O que a Ticketmaster disse que foi exposto?

Segundo a reportagem do Canaltech, a empresa informou nome completo, gênero, faixa etária ou data de nascimento, CPF ou documento usado na compra, telefone, e-mail, endereço (cidade, estado e bairro) e dados da compra, como o método de pagamento e os quatro últimos dígitos do cartão. A empresa afirma que senhas e números completos de cartão não foram envolvidos.

Se não vazou senha nem cartão, ainda preciso me preocupar?

Sim, com golpes, não com acesso à conta. Nome, CPF, e-mail, telefone e dados de uma compra recente permitem montar mensagens muito convincentes, como um falso contato da empresa pedindo para 'confirmar' pagamento ou 'regularizar' um ingresso. Trocar a senha é uma boa precaução, mas a atenção a contatos inesperados é o que mais protege.

Como saber se o aviso que recebi é verdadeiro?

Não clique nos links da mensagem. Digite você mesmo o endereço oficial da empresa no navegador ou use o canal informado no comunicado oficial dela. A Ticketmaster diz que seus canais oficiais não pedem senhas, dados de pagamento ou outras informações sensíveis sem aviso prévio. Aviso que pede essas informações deve ser tratado como golpe.

A empresa é obrigada a avisar quem foi afetado?

A LGPD (art. 48) determina que o controlador comunique à ANPD e ao titular a ocorrência de incidente que possa acarretar risco ou dano relevante. A Resolução CD/ANPD nº 15/2024 detalha o prazo e o conteúdo da comunicação, com prazo de 3 dias úteis para a comunicação à ANPD. Se o incidente se enquadra ou não, é uma avaliação do caso.

Posso cobrar explicações da empresa?

Sim. A LGPD garante direitos ao titular, como confirmar se a empresa trata seus dados e obter acesso a eles (art. 18). Peça por escrito, guarde o protocolo e, se não houver resposta adequada, a ANPD mantém canais para denúncia e peticionamento de titulares.

Preciso trocar de cartão?

Pelo que a empresa informou, números completos de cartão não foram expostos, apenas os quatro últimos dígitos. Por isso, o principal é conferir a fatura nos próximos meses e contestar qualquer cobrança que você não reconheça. A troca do cartão fica a seu critério, ou do banco, se houver cobrança suspeita.

E se eu usar a mesma senha em outros sites?

Troque a senha de todos os sites que a repetem, começando por e-mail, banco e redes sociais, e use senhas diferentes em cada um, de preferência com um gerenciador de senhas. Ative também a verificação em duas etapas onde houver. Isso vale mesmo quando a empresa afirma que senhas não foram expostas.