Latam Pass sofre vazamento de dados e aciona a ANPD

A Latam Airlines confirmou, na noite desta quarta-feira (19), que identificou uma situação envolvendo dados pessoais de uma parcela limitada de membros do Latam Pass, seu programa de fidelidade. A companhia não informou o volume do vazamento nem quais clientes foram afetados, mas reportou o caso à Autoridade Nacional de Proteção de Dados (ANPD).

Em nota, a aérea afirmou que, "em respeito aos clientes e em cumprimento à Lei Geral de Proteção de Dados (LGPD) e a legislação aplicável, a companhia comunicou o público potencialmente afetado e a Agência Nacional de Proteção de Dados". Segundo o comunicado, medidas imediatas de contenção e cibersegurança foram adotadas assim que a ocorrência foi identificada.

Quase três semanas entre a descoberta e o aviso

A Latam informou que uma falha de segurança em seu sistema permitiu que pessoas não autorizadas tivessem acesso a dados de clientes, incidente identificado em 29 de julho, mas a companhia não informou quantas pessoas foram afetadas. Ou seja, passaram-se 21 dias entre a detecção da falha e a comunicação pública, na quarta-feira (19).

A própria empresa justificou o intervalo. A Latam comunicou o caso aos clientes nesta quarta-feira, e, segundo a companhia, o intervalo desde a identificação ocorreu porque foi realizada uma análise técnica dos registros para determinar quais clientes e informações haviam sido afetados — o comunicado divulgado não informa o número total de clientes atingidos.

Quais dados foram expostos

Entre as informações que puderam ser consultadas estão nome completo, data de nascimento, e-mail, telefone e endereço residencial, além do número de sócio e da categoria do cliente no programa de fidelidade Latam Pass. Segundo outro levantamento, uma falha no sistema da Latam permitiu que pessoas não autorizadas consultassem diferentes informações de clientes, reunindo dados cadastrais, detalhes do Latam Pass e partes do cartão de crédito.

A lista de categorias afetadas é ampla: o acesso indevido também alcançou número de sócio e categoria no programa de fidelidade, saldo de milhas e pontos qualificáveis. Por outro lado, senhas e o código de segurança do cartão não foram expostos, segundo a companhia, que ainda assim recomenda atenção redobrada a contatos suspeitos.

"O cuidado indicado pela Latam é desconfiar de abordagens que aproveitem informações pessoais para pedir dinheiro, credenciais ou códigos, enquanto permanece sem divulgação o alcance total do incidente."

No vazamento, a providência imediata para quem foi comunicado não depende apenas de trocar uma senha que, segundo a empresa, não foi exposta — o alerta é para desconfiar de abordagens que usem os dados pessoais para pedir dinheiro, credenciais ou códigos.

Um programa com 20 milhões de cadastrados

O tamanho da base potencialmente exposta chama atenção. Com anos de existência, o Latam Pass é um dos maiores programas de fidelidade do Brasil e da América Latina, oferecendo hoje serviços para mais de 20 milhões de clientes cadastrados em sua plataforma. Em parceria firmada com a Azul em 2020, o programa já somava 37 milhões de membros no acordo que uniu Latam Pass e TudoAzul, o que dá dimensão da escala de dados sob custódia da companhia.

Não é a primeira vez

O Latam Pass já foi alvo de vazamento de dados antes. Em 2021, clientes do programa tiveram dados pessoais vazados depois que a Sita, multinacional suíça de tecnologia para o setor aéreo, sofreu um ataque cibernético em um servidor em Atlanta, nos Estados Unidos. Na ocasião, informações de membros do Latam Pass, como nome, sobrenome, número de membro e categoria, foram vazadas por conta de acordos comerciais de passageiros frequentes que a companhia mantinha com outras aéreas que utilizavam o sistema da Sita. À época, a Latam reforçou que não houve falha em seus próprios sistemas — o que difere do episódio atual, decorrente de brecha identificada na própria plataforma da companhia.

Reclamações registradas na plataforma Reclame Aqui neste ano já apontavam problemas de segurança na base de dados da empresa, com relatos de reservas e dados de terceiros vinculados indevidamente a CPFs de outros clientes — indício de fragilidades recorrentes no controle de acesso aos cadastros do programa.

O que muda com a nova ANPD

O episódio ocorre num momento de virada institucional para a fiscalização de dados no Brasil. Transformada em agência reguladora pela Lei nº 15.352/2026, a ANPD abriu 19 novos processos sancionadores apenas em junho, com teto legal de multa de R$ 50 milhões por infração. A infração mais recorrente identificada pelo órgão não é o vazamento de dados em si, mas a falha em comunicar o incidente aos titulares e à própria ANPD — ponto sensível no caso Latam, dado o intervalo de três semanas entre a descoberta e o aviso público.

As multas simples podem chegar a 2% do faturamento da empresa, limitadas a R$ 50 milhões por infração, e a autoridade considera fatores como a gravidade da infração, a boa-fé do infrator e a adoção de medidas corretivas ao dosar eventual penalidade — o que tende a favorecer a Latam, que já notificou o órgão e diz ter contido a falha.

Ainda assim, o histórico recente mostra que o órgão saiu da fase apenas educativa. Entre 2021 e 2024, a ANPD operou em modo predominantemente educativo, mas, com a conversão em outubro de 2025, a autoridade ganhou estrutura de carreira própria, autonomia financeira e poder sancionador robusto. No plano judicial, porém, o rigor esbarra em jurisprudência: o STJ firmou entendimento de que o vazamento de dados pessoais comuns, por si só, não gera dano moral presumido, exigindo comprovação do prejuízo — o que deve pautar eventuais ações de clientes contra a companhia.

A Latam ainda não divulgou balanço final sobre quantos clientes tiveram dados expostos, nem se a ANPD abrirá processo administrativo específico para o caso. O desfecho vai depender da análise técnica que a própria empresa diz manter em curso — e da capacidade da nova ANPD de transformar a notificação em fiscalização efetiva.

Versão em áudio disponível no topo do post.