Vazamento de 1,5 milhão de denúncias anônimas do Crime Stoppers leva mais de 40 programas e polícias do Canadá a suspender o serviço

Mais de 1,5 milhão de denúncias feitas ao Crime Stoppers no Canadá ao longo de 25 anos ficaram expostas num ataque hacker à plataforma que guardava esses relatos, segundo investigação da emissora pública CBC publicada em 21 de outubro de 2026, e a reação em cadeia levou dezenas de programas locais e de polícias a suspender o serviço de denúncia anônima, que existe justamente para proteger quem tem medo de represália.

O Crime Stoppers é uma rede de organizações sem fins lucrativos que recebe denúncias sobre crimes por telefone, site e aplicativo, sem pedir o nome de quem denuncia, e repassa a informação à polícia quando julga necessário, trabalhando de forma independente das corporações.

Como os dados saíram

O ataque aconteceu em março de 2026 e atingiu a P3 Global Intel, plataforma de gestão de denúncias com sede no Texas e controlada pela empresa americana Navigate360, que é usada pelo Crime Stoppers e por outras organizações nos Estados Unidos e em outros países, segundo a Malwarebytes.

Um coletivo hacktivista chamado Internet Yiff Machine assumiu a invasão e disse que o objetivo era provar que a Navigate360 e a P3 mentiam sobre a segurança da plataforma, e a organização americana Distributed Denial of Secrets (DDoSecrets) disponibilizou o material a pesquisadores e jornalistas, entre eles os da CBC, segundo o The Record e o MobileSyrup.

A CBC diz ter tomado “amplas precauções” para manusear o material, com criptografia e ambientes de trabalho isolados e sem conexão, e os repórteres conseguiram falar com mais de uma dúzia de denunciantes a partir dos dados vazados, segundo o The Record.

O que as denúncias revelam

Mais de 850.000 das denúncias analisadas pela CBC tinham informação pessoal de denunciantes, de pessoas acusadas, de funcionários do Crime Stoppers e de policiais, em geral endereço e telefone, além de dezenas de milhares de e-mails pessoais e placas de veículos e de centenas de dados bancários ligados ao pagamento de recompensas, segundo o resumo do MobileSyrup.

Em mais de 4.300 casos o próprio denunciante escreveu o nome completo, apesar da orientação de não fazê-lo, e em centenas de casos os funcionários chegaram a anotar que o denunciante estava comprometido, por ter se identificado ou por outro motivo, sem que a informação fosse apagada do banco de dados, e a CBC concluiu que o Crime Stoppers e a empresa contratada falharam em proteger a identidade dos denunciantes e guardaram de forma indevida registros sensíveis de décadas.

O Toronto Crime Stoppers explicou que a prática é retirar os detalhes que identificam o denunciante antes de mandar a informação aos investigadores, mas que entre os dados roubados estavam as mensagens originais, ainda com esses detalhes, segundo a Global News.

O que o fornecedor informou e quando

Pelo relato do Toronto Crime Stoppers, a Navigate360 garantiu desde março que a P3 era segura, disse em abril que os dados de Toronto não tinham sido levados e só em junho admitiu que tinham, sem dizer o que fora exposto, até chegar ao número de 176.859 denúncias de Toronto feitas entre janeiro de 2022 e novembro de 2025, das quais 12.392 podem conter dados pessoais.

Entre setembro e outubro, a empresa entregou ao programa uma lista de 14.973 nomes encontrados no material roubado, sem dizer se eram de denunciantes, de suspeitos ou de ambos, e não entregou o texto das denúncias apesar dos pedidos feitos por advogados, de modo que o programa não consegue avaliar o risco de cada pessoa, segundo o The Record e a Global News.

A primeira confirmação pública do ataque pela Navigate360 veio só na sexta-feira, 23 de outubro de 2026, sete meses depois da invasão, e a empresa não respondeu aos pedidos de entrevista da CBC, segundo a emissora.

A suspensão em cadeia

O Toronto Crime Stoppers parou de receber denúncias na noite de 21 de outubro de 2026, horas depois da reportagem, e o presidente Sean Sportun disse que desde 1984 as pessoas procuravam o programa porque ele prometia anonimato e que, para algumas delas, essa promessa foi quebrada, e pediu desculpas.

Na segunda-feira, 26 de outubro de 2026, a contagem da CBC já mostrava pelo menos 11 programas parados e 24 unidades policiais com a parceria suspensa, e a emissora revelou um memorando interno de 22 de outubro em que o presidente da associação nacional, David J. Forster, orientava os programas locais a não dar entrevistas à CBC nem a nenhum outro veículo.

Em 30 de outubro de 2026, a Canadian Crime Stoppers Association, numa aparente mudança de posição, recomendou aos programas que aceitem denúncias só por telefone, pelo número 222-TIPS, sem usar a plataforma P3, e Forster disse em nota que a mudança “não desfaz a exposição das informações já levadas”.

Até essa data, mais de 40 programas e polícias de cinco províncias tinham suspendido as denúncias ou a parceria, ao menos 29 unidades policiais de Ontário, Manitoba, Nova Escócia e Colúmbia Britânica tinham se afastado do programa, e polícias como as de Calgary e de Charlottetown disseram que continuariam recebendo as denúncias, segundo a CBC.

Investigação da comissão de privacidade

A comissão federal de privacidade do Canadá abriu investigação sobre o vazamento, com foco na Navigate360 e nas salvaguardas de segurança que a empresa tinha na época do ataque, e o professor de criminologia Randy Lippert, da Universidade de Windsor, disse à CBC que é difícil imaginar o Crime Stoppers recuperando a confiança que tinha.