ShinyHunters Rouba 78,6M Registos da Rockstar [2026]

O grupo de extorsão ShinyHunters reivindicou, em abril de 2026, o roubo de 78,6 milhões de registos pertencentes à Rockstar Games, editora de Grand Theft Auto, através de um ataque à cadeia de fornecimento que não explorou nenhuma vulnerabilidade nos sistemas da própria Rockstar. Em vez disso, os atacantes comprometeram a Anodot, uma plataforma terceira de monitorização de custos e análise de dados em nuvem, e usaram tokens de autenticação roubados para aceder ao armazém de dados que a Rockstar mantém no Snowflake. A Rockstar recusou pagar o resgate exigido e os dados foram publicados nos dias seguintes. O caso tornou-se um dos exemplos mais citados de 2026 de como um fornecedor secundário, quase invisível na cadeia de segurança de uma empresa, pode transformar-se no ponto de entrada para um dos maiores incidentes do ano – e chega a Portugal numa altura em que o novo Regime Jurídico da Cibersegurança torna a segurança da cadeia de abastecimento uma obrigação legal explícita para milhares de empresas.

O Que Aconteceu: Cronologia do Ataque à Rockstar Games

Segundo a reconstrução feita por vários órgãos de segurança informática, os conectores da Anodot ligados aos ambientes de clientes começaram a apresentar atividade anómala por volta de 4 de abril de 2026. O ShinyHunters publicou a nota de extorsão a 11 de abril no seu site de fugas na dark web, mas a notícia só chegou à imprensa especializada dois dias depois, a 13 de abril. O grupo deu à Rockstar um prazo até 14 de abril de 2026 para pagar, sob pena de publicar os dados. A Rockstar recusou negociar e, entre 14 e 15 de abril, o ShinyHunters publicou o conteúdo roubado no seu portal de fugas, de acordo com a HackRead.

A nota de extorsão atribuída ao grupo, citada pela Tom’s Hardware, resume bem o estilo direto e quase publicitário que o ShinyHunters usa nos seus ataques: “Rockstar Games, as vossas instâncias Snowflake foram comprometidas graças à Anodot.com. Paguem ou vazamos. Este é um aviso final para entrarem em contacto até 14 de abril de 2026 antes de vazarmos, juntamente com vários problemas (digitais) incómodos que vos vão aparecer. Tomem a decisão certa, não sejam a próxima manchete.” A mensagem confirma publicamente aquilo que as equipas de resposta a incidentes já suspeitavam: o vetor não foi a Rockstar, foi um fornecedor que a Rockstar contratou para uma função aparentemente secundária – monitorizar custos de computação em nuvem.

Anodot e Snowflake: Como Funcionou o Ataque à Cadeia de Fornecimento

A Anodot é uma plataforma de deteção de anomalias que se integra com dezenas de serviços SaaS para monitorizar custos e métricas operacionais. Para funcionar, precisa de permissões de leitura alargadas sobre os ambientes de dados dos clientes – no caso da Rockstar, isso incluía acesso a instâncias Snowflake e, segundo a BleepingComputer, também a buckets S3 e fluxos Amazon Kinesis ligados. Os atacantes não exploraram uma falha de software no Snowflake; roubaram tokens de autenticação válidos emitidos para a integração da Anodot e usaram-nos para se fazerem passar por essa integração legítima, contornando por completo a necessidade de “invadir” um perímetro no sentido tradicional.

A própria Snowflake distanciou-se do incidente. Segundo a BleepingComputer, a empresa confirmou ter detetado atividade invulgar num pequeno número de contas de clientes ligadas a uma integração de terceiros, respondeu bloqueando as contas afetadas e notificou os clientes envolvidos – enquadrando o problema como uma falha do fornecedor Anodot, não da sua própria plataforma. É uma distinção tecnicamente correta, mas que ilustra o problema central deste tipo de ataque: do ponto de vista da vítima final, é irrelevante saber qual dos elos da cadeia falhou primeiro.

Este padrão não é novo em 2026. O ShinyHunters usou uma abordagem quase idêntica em março, numa campanha contra integrações Salesforce que reivindicou ter atingido mais de 400 empresas, com 26 confirmadas publicamente. Segundo a Help Net Security, o mecanismo de ataque à Rockstar seguiu exatamente esse modelo: “Os atacantes exploraram a Anodot, uma plataforma SaaS de terceiros usada para monitorização de custos e análise na nuvem, como ponto de entrada, e alegadamente extraíram tokens de autenticação, permitindo o acesso a uma conta Snowflake associada sem explorar vulnerabilidades na própria Snowflake.”

Os Números da Fuga: 78,6 Milhões de Registos Analisados

O volume divulgado pelo ShinyHunters – e confirmado de forma independente pela BleepingComputer, a fonte mais citada sobre este caso – é de 78,6 milhões de registos, distribuídos por 25 ficheiros que totalizam 7,54 GB comprimidos, segundo um relatório de acompanhamento da HackRead. É importante não confundir “registos” com “pessoas”: os dados não são contas de jogadores, mas sim linhas de análise interna – métricas de receita e compras em jogo, comportamento de jogadores, dados económicos de GTA Online e Red Dead Online, análises de apoio ao cliente extraídas de instâncias Zendesk, dados de modelos de deteção de fraude e de anti-cheat, e relatórios diários de indicadores-chave de desempenho.

Fontes: BleepingComputer, HackRead (verificado em agosto de 2026)
Categoria de Dados Roubados	Descrição	Inclui Dados Pessoais de Jogadores?
Métricas de receita e compras	Receita agregada de GTA Online e Red Dead Online por período	Não
Comportamento de jogadores	Padrões de utilização e envolvimento, agregados	Não
Apoio ao cliente (Zendesk)	Métricas e análises de tickets de suporte	Parcial – sem confirmação de dados identificáveis
Deteção de fraude e anti-cheat	Dados de treino e teste de modelos internos	Não
Relatórios de KPI	Exportações CSV de indicadores diários de desempenho	Não
Credenciais ou pagamentos de jogadores	Nenhuma fonte confirmou a presença deste tipo de dados	Não confirmado em nenhuma fonte

Nenhuma das fontes consultadas – BleepingComputer, HackRead, The Record ou Help Net Security – confirma a presença de credenciais de contas, endereços de e-mail de jogadores ou dados de pagamento no lote publicado. Isto distingue claramente este incidente de fugas centradas no consumidor, como a fuga da Odido em Portugal, que afetou diretamente os dados pessoais de milhões de clientes.

O Que Foi Roubado – e o Que Não Foi

A distinção entre dados analíticos internos e dados pessoais de jogadores não é só uma nuance técnica – determina praticamente todo o resto da história. Não há, até à data, qualquer indicação de que código-fonte de jogos, incluindo o já muito aguardado Grand Theft Auto VI, tenha estado entre os ficheiros roubados. Também não há evidência de que a fuga tenha comprometido palavras-passe, tokens de sessão de contas de jogadores ou dados de cartões de pagamento.

Isso não torna o incidente inofensivo. Dados de deteção de fraude e de modelos anti-cheat, por exemplo, têm valor direto para quem desenvolve ferramentas de batota ou esquemas de fraude – conhecer os parâmetros exatos que um sistema anti-cheat usa para sinalizar comportamento suspeito permite contorná-lo com mais eficácia. Métricas financeiras internas, mesmo agregadas, também têm valor competitivo e podem alimentar especulação de mercado. A Rockstar, através de um porta-voz citado pela Help Net Security, minimizou publicamente o impacto: “Podemos confirmar que uma quantidade limitada de informação empresarial não material foi acedida no âmbito de uma violação de dados de terceiros. Este incidente não tem impacto na nossa organização nem nos nossos jogadores.”

ShinyHunters: Quem É o Grupo Por Trás do Ataque

O ShinyHunters não é um grupo novo nem discreto. Ao longo de 2026 tem sido associado a uma série de campanhas de grande escala: a fuga da Match Group em janeiro, que afetou cerca de 10 milhões de utilizadores; a campanha de integrações Salesforce em março, com centenas de empresas visadas; uma fuga atribuída à Comissão Europeia, com cerca de 350 GB de dados de 30 entidades; e agora a campanha ligada à Anodot, que atingiu a Rockstar em abril. Em Portugal, o mesmo nome tem estado associado à fuga da Odido, que expôs dados de 6,39 milhões de clientes e envolveu um pedido de resgate de cerca de 1 milhão de euros.

Vale a pena notar que “ShinyHunters” funciona mais como uma marca ou alcunha coletiva do que como uma organização única e hierárquica. Em junho de 2025, quatro suspeitos que usavam os pseudónimos ShinyHunters, Hollow, Noct e Depressed foram detidos em França pela unidade de cibercrime da Polícia Judiciária de Paris, acusados de administrar o fórum BreachForums e de ataques a empresas como a Boulanger e a SFR. Essas detenções não impediram que ataques sob a mesma alcunha continuassem a aparecer ao longo de 2026 – o que sugere que se trata de uma identidade partilhada por diferentes indivíduos ou subgrupos, e não de uma organização que possa ser desmantelada com a detenção de um punhado de pessoas.

Outras Vítimas da Mesma Campanha: Vimeo e Zara

A Rockstar está longe de ser o único alvo confirmado da campanha ligada à Anodot. Segundo a The Record, “mais de uma dúzia” de organizações foram atingidas através do mesmo esquema de roubo de tokens, com a própria Snowflake a admitir que “um pequeno número” dos seus clientes foi afetado. Duas vítimas adicionais foram nomeadas publicamente: a plataforma de alojamento de vídeo Vimeo, com aproximadamente 119.000 endereços de e-mail de utilizadores expostos num arquivo de 106 GB – a empresa recusou pagar o resgate – e o grupo de retalho de moda Zara/Inditex, com cerca de 197.000 registos expostos num arquivo de 140 GB, neste caso através de tokens ligados ao BigQuery.

É importante não confundir esta campanha específica com a atividade mais ampla do ShinyHunters em 2026, que inclui vítimas completamente distintas, atacadas por vetores diferentes – por exemplo, a fuga da Canvas/Instructure, com 275 milhões de utilizadores afetados, resultou de uma exploração direta dos sistemas de produção da Instructure, sem qualquer ligação à Anodot ou ao Snowflake.

Este não é o primeiro incidente de segurança de grande visibilidade a atingir a Rockstar. Em setembro de 2022, um jovem de 18 anos residente em Oxford conseguiu aceder a sistemas internos da empresa através de engenharia social – persuadindo um funcionário via Slack – e divulgou mais de 90 vídeos de desenvolvimento do então inédito GTA VI. Segundo o The Register, o autor acabou por ser condenado a internamento hospitalar indeterminado, e não a pena de prisão, tendo obtido o acesso inicial através de um smartphone e uma Amazon Fire TV Stick.

O contraste entre os dois casos é revelador. Em 2022, o vetor foi humano – a manipulação direta de um funcionário. Em 2026, o vetor foi puramente técnico e nem sequer envolveu diretamente a Rockstar: bastou que um fornecedor terceiro, contratado para uma função administrativa de monitorização de custos, tivesse as suas credenciais comprometidas. A lição subjacente é a mesma nos dois casos, apenas aplicada a superfícies de ataque diferentes: a superfície de exposição de uma empresa como a Rockstar já não se limita ao seu próprio perímetro, mas estende-se a cada fornecedor com acesso aos seus dados.

Impacto no Mercado e a Proximidade do Lançamento de GTA 6

O momento do incidente não passou despercebido. A Rockstar prepara-se para lançar Grand Theft Auto VI a 19 de novembro de 2026, exclusivamente para PS5, PS5 Pro e Xbox Series X/S, numa altura em que as pré-encomendas – abertas desde 25 de junho – bateram recordes segundo vários retalhistas. Nada nas fontes consultadas sugere que a fuga tenha tocado em código-fonte ou conteúdo inédito do jogo, e a Take-Two Interactive, empresa-mãe da Rockstar, manteve a data de lançamento nas suas previsões financeiras mais recentes, incluindo a orientação de receitas para o ano fiscal de 2027, que aponta para 8,0 a 8,2 mil milhões de dólares em reservas líquidas, com GTA VI identificado como o principal motor de crescimento.

O verdadeiro impacto de mercado deste incidente é, por isso, mais reputacional do que operacional: acontece sete meses antes do lançamento mais aguardado da década, numa altura de escrutínio público elevado sobre a Rockstar, mas sem qualquer indicação de risco direto para o produto em si. Isso não significa que o mercado de segurança em torno da indústria dos jogos deva ignorar o episódio – pelo contrário, reforça a perceção de que os estúdios de grande dimensão são alvos permanentes, independentemente da fase do ciclo de desenvolvimento em que se encontram.

Comparação: As Maiores Fugas de Dados Ligadas ao ShinyHunters em 2026

Colocar o caso Rockstar lado a lado com outras campanhas do mesmo grupo em 2026 ajuda a perceber a escala relativa do incidente e a distinguir entre campanhas com o mesmo vetor (Anodot/Snowflake) e outras completamente distintas.

Fontes: BleepingComputer, The Record, HackRead, registos internos shattered.io (verificado em agosto de 2026)
Vítima	Mês (2026)	Volume Reportado	Vetor de Ataque
Match Group	Janeiro	~10 milhões de utilizadores	Não ligado à Anodot
Campanha Salesforce	Março	400+ empresas reivindicadas, 26 confirmadas	Integrações Salesforce
Rockstar Games	Abril	78,6 milhões de registos analíticos	Anodot → Snowflake
Vimeo	Abril	~119.000 e-mails de utilizadores	Anodot → Snowflake
Zara/Inditex	Abril	~197.000 registos	Anodot → tokens BigQuery
Odido (Portugal/Países Baixos)	2026	6,39 milhões de clientes	Não ligado à Anodot
Canvas/Instructure	Abril-Maio	275 milhões de utilizadores	Exploração direta, não ligado à Anodot

O que salta à vista nesta comparação é que o ShinyHunters não depende de um único vetor de ataque. Alterna entre exploração de integrações SaaS (Salesforce, Anodot), engenharia social e, nalguns casos documentados noutras campanhas, exploração direta de vulnerabilidades. Isto torna a deteção baseada apenas em assinaturas de ataque conhecidas cada vez menos eficaz – uma ideia resumida numa frase simples por analistas do setor: os atacantes já não precisam de “invadir” sistemas quando podem simplesmente “iniciar sessão” com credenciais roubadas de um fornecedor de confiança.

O Regime Jurídico da Cibersegurança e o Risco da Cadeia de Fornecimento em Portugal

Para leitores em Portugal, este caso tem uma relevância regulatória direta. O Regime Jurídico da Cibersegurança (RJC), aprovado pelo Decreto-Lei n.º 125/2025 e em vigor desde 3 de abril de 2026 – praticamente na mesma semana em que a fuga da Rockstar foi divulgada –, transpõe a Diretiva NIS2 para o ordenamento jurídico português e alarga o universo de entidades reguladas de cerca de 1.000 para entre 7.000 e 9.000 empresas. Entre as obrigações que impõe às entidades essenciais e importantes está, de forma explícita, a segurança da cadeia de abastecimento: as empresas abrangidas têm de avaliar as práticas de cibersegurança dos seus fornecedores e prestadores de serviços, incorporar requisitos de segurança nos contratos e realizar auditorias periódicas.

O caso Rockstar/Anodot é, na prática, um exemplo de manual do tipo de cenário que essa obrigação pretende prevenir: uma empresa com maturidade de segurança elevada comprometida através de um fornecedor secundário com acesso privilegiado aos seus dados. Em Portugal, entidades abrangidas pelo RJC que sofram um incidente semelhante ficam sujeitas a um regime de notificação em três fases – alerta precoce ao Centro Nacional de Cibersegurança (CNCS) em 24 horas, notificação completa em 72 horas e relatório final num prazo a definir – sob pena de coimas que podem chegar aos 10 milhões de euros ou 2% do volume de negócios mundial. As primeiras auditorias sistemáticas do CNCS ao abrigo do novo regime estão previstas para setembro de 2026, e a segurança da cadeia de abastecimento é apontada como um dos principais focos dessa fiscalização inicial.

O Que as Empresas Portuguesas Devem Aprender Com Este Caso

Independentemente de uma empresa estar ou não formalmente abrangida pelo RJC, o caso Rockstar/Anodot oferece lições práticas que se aplicam a qualquer organização que contrate serviços SaaS de terceiros – o que, hoje em dia, é praticamente todas elas. A primeira lição é a mais óbvia: um fornecedor “secundário”, contratado para uma função que parece administrativa, como monitorização de custos, pode ter permissões de acesso muito mais alargadas do que a sua importância aparente sugeriria. A segunda é que tokens de autenticação de longa duração, sem rotação regular nem âmbito de permissões restrito, são um dos ativos mais valiosos – e mais frequentemente esquecidos – de qualquer auditoria de segurança.

Um exercício simples de validação de âmbito de tokens, aplicado sistematicamente a cada integração de terceiros, ajudaria a limitar o dano em cenários como este. O excerto abaixo ilustra, de forma conceptual e não específica a nenhum fornecedor, o tipo de verificação que uma equipa de engenharia pode implementar antes de conceder acesso a um token de integração externa:

// Exemplo conceptual – validação de âmbito de token antes de conceder acesso
function validarTokenIntegracao(token, recursoPedido) {
  const ambitosPermitidos = obterAmbitosDoToken(token);
  const ambitoMinimoNecessario = mapearRecursoParaAmbito(recursoPedido);

  if (!ambitosPermitidos.includes(ambitoMinimoNecessario)) {
    registarTentativaNegada(token, recursoPedido);
    throw new Error("Âmbito insuficiente para o recurso pedido");
  }

  if (tokenExpirado(token) || !tokenTemRotacaoRecente(token)) {
    throw new Error("Token fora da política de rotação – acesso recusado");
  }

  return concederAcessoComAmbitoRestrito(recursoPedido, ambitoMinimoNecessario);
}

Este tipo de controlo não teria necessariamente impedido o ataque à Anodot em si, mas exemplifica o princípio de menor privilégio que reguladores como o CNCS esperam ver implementado: cada integração deve ter apenas o acesso mínimo indispensável à sua função, e esse acesso deve ser revisto com regularidade – não configurado uma vez e esquecido durante anos.

Análise: Por Que Este Ataque É Diferente

O que distingue o caso Rockstar de uma fuga de dados “tradicional” é a ausência quase total de uma falha atribuível à própria vítima. A Rockstar não deixou uma porta aberta, não ignorou um alerta de segurança nem cometeu um erro de configuração óbvio nos seus próprios sistemas – pelo menos, nada disso foi reportado por nenhuma das fontes consultadas. O ponto de falha esteve inteiramente na confiança implícita depositada num fornecedor terceiro. Esta é, em larga medida, a razão pela qual ataques à cadeia de fornecimento se tornaram o vetor preferido de grupos como o ShinyHunters ao longo de 2026: exploram a mesma vulnerabilidade estrutural – a dificuldade de auditar continuamente centenas de integrações SaaS – em dezenas de empresas ao mesmo tempo, multiplicando o retorno de um único esforço de intrusão.

Do ponto de vista de quem gere risco de segurança, isto implica uma mudança de foco: já não basta proteger o perímetro da própria organização, é preciso manter um inventário atualizado de todas as integrações de terceiros, com que dados cada uma pode aceder, e com que frequência essas permissões são revistas. Para a indústria dos jogos em particular, onde o volume de dados analíticos e de comportamento de jogadores gerado diariamente é enorme, esse inventário tende a ser mais complexo do que em setores com menos telemetria em tempo real.

Previsões: O Que Esperar a Seguir

Mais vítimas da campanha Anodot deverão ser identificadas. Com “mais de uma dúzia” de organizações já mencionadas pela The Record e apenas três nomeadas publicamente até agora (Rockstar, Vimeo, Zara), é provável que outras empresas sejam identificadas nas próximas semanas, à medida que mais investigadores de segurança analisam os dados publicados.

O CNCS deverá usar casos como este como referência nas primeiras auditorias RJC. Com a fiscalização sistemática prevista para setembro de 2026 e a segurança da cadeia de abastecimento identificada como foco prioritário, é expectável que exemplos internacionais como o da Rockstar sejam citados em orientações ou ações de sensibilização dirigidas a entidades portuguesas abrangidas.

O lançamento de GTA VI a 19 de novembro não deverá ser afetado. Nada nas fontes disponíveis liga esta fuga a risco técnico para o jogo, e a Take-Two reafirmou a data nas suas previsões financeiras mais recentes.

Fornecedores de monitorização e análise SaaS deverão enfrentar escrutínio de segurança acrescido. Ferramentas como a Anodot, historicamente vistas como de baixo risco por terem uma função “apenas analítica”, tendem a passar a ser tratadas como ativos de alto risco em processos de due diligence de segurança, dado o nível de acesso a dados que normalmente exigem para funcionar.

A marca “ShinyHunters” deverá continuar ativa apesar de detenções pontuais. O precedente francês de 2025 – quatro suspeitos detidos sem que os ataques sob a mesma alcunha parassem – sugere que se trata de uma identidade coletiva, não de uma organização única, o que torna improvável que ações judiciais isoladas encerrem a atividade associada ao nome.

Perguntas Frequentes

O que é a Anodot e porque tinha acesso aos dados da Rockstar?
É uma plataforma SaaS de deteção de anomalias e monitorização de custos em nuvem. Para funcionar, integra-se com os ambientes de dados dos clientes – no caso da Rockstar, isso incluía acesso a instâncias Snowflake usadas para armazenar dados analíticos internos.

Os dados de jogadores de GTA Online foram expostos?
Não há confirmação de nenhuma fonte consultada de que credenciais, e-mails ou dados de pagamento de jogadores tenham sido incluídos na fuga. Os dados descritos são analíticos e agregados – receita, comportamento, métricas de apoio ao cliente e modelos de deteção de fraude.

Quantos registos foram roubados exatamente?
78,6 milhões de registos, distribuídos por 25 ficheiros com um total de 7,54 GB comprimidos, segundo a BleepingComputer e a HackRead.

A Rockstar pagou o resgate?
Não. A empresa recusou pagar, e o ShinyHunters publicou os dados entre 14 e 15 de abril de 2026, após o prazo de resgate ter terminado.

Este incidente afeta o lançamento de GTA VI?
Não há indicação disso. O jogo mantém a data de lançamento de 19 de novembro de 2026, e nenhuma fonte relatou a presença de código-fonte ou conteúdo inédito na fuga.

Que outras empresas foram afetadas pela mesma campanha?
A Vimeo (~119.000 e-mails de utilizadores) e a Zara/Inditex (~197.000 registos) foram nomeadas publicamente. A The Record refere “mais de uma dúzia” de organizações afetadas no total, sem identificar todas.

Isto está relacionado com o novo Regime Jurídico da Cibersegurança em Portugal?
Não diretamente – a Rockstar não é uma entidade portuguesa nem está sujeita ao RJC. Mas o caso ilustra exatamente o tipo de risco de cadeia de abastecimento que o RJC obriga as entidades essenciais e importantes portuguesas a avaliar e mitigar a partir de 3 de abril de 2026.

O que devem fazer as empresas para se protegerem de ataques semelhantes?
Manter um inventário atualizado de integrações de terceiros, aplicar o princípio de menor privilégio aos tokens de autenticação, garantir rotação regular de credenciais e incluir requisitos de segurança explícitos nos contratos com fornecedores – exatamente as obrigações que o RJC português passou a exigir formalmente a milhares de empresas.