Uma nova pesquisa revela quase 120 milhões de registros de turistas expostos

O que os resultados da pesquisa nos mostram sobre vazamentos no setor do turismo

Uma viagem pode colocar seus dados pessoais em mais lugares do que você pensa. As companhias aéreas e hotéis são alvos mais óbvios, mas os sites de reservas, empresas de aluguel, operadores de trens, programas de fidelidade, provedores de tours e pequenos serviços, todos eles reúnem detalhes e informações ao longo do processo.

Os pesquisadores da NordVPN e do Saily procuraram por vazamentos relacionados a viagens observados entre janeiro de 2021 e agosto de 2026 para ver o que acontece com as informações das empresas de turismo que sofrem com vazamentos de dados.

A pesquisa descobriu 119.4 milhões de dados expostos de turistas, mas o número total é só parte do problema. O estudo revelou dois padrões diferentes. Alguns tipos de empresas de turismo apareceram nos vazamentos com muito mais frequência, enquanto outras tiveram menos incidentes com muito mais pessoas afetadas de uma só vez.

Os dados expostos também não se limitam a credenciais de contas. Vazamentos no setor do turismo incluíam detalhes pessoais que são muito difíceis e algumas vezes até impossíveis de mudar.

Então, onde estão os pontos fracos e quais informações os turistas deixam para trás? Vamos dar uma olhada nas descobertas da nossa análise.

Os vazamentos de dados de viagens não seguem um padrão estável

Os pesquisadores observaram 119.433.433 registros de turistas ao longo do período analisado. Mas esses registros não se distribuem igualmente ao longo dos anos.

Só em 2021, os pesquisadores identificaram mais de 37.4 milhões de registros em 278 vazamentos de dados, o número mais alto no conjunto de dados, causado principalmente por um aumento de vazamentos contra plataformas de reservas menores. Em 2022, o número de incidentes caiu drasticamente para apenas 43, mas esses vazamentos ainda expuseram quase 22 milhões de registros. O ano seguinte teve 23 incidentes de vazamentos, mas quase 30 milhões de registros foram expostos. Abaixo você pode conferir uma tabela comparando ano a ano.

*Os dados de 2026 cobrem o período de 18 de agosto.

Um número elevado de incidentes de vazamentos de dados nem sempre significa mais registros expostos. O conjunto de dados de 2021 registrou mais de 12 vezes o número de vazamentos de 2023, mas só cerca de 25% a mais de registros foram expostos. Alguns vazamentos de grande porte podem alterar esse cenário bem rápido.

Para quem viaja, os dois lados da equação contam. Um setor pode ter vazamentos frequentes e menores ou incidentes ocasionais que afetam milhões de pessoas de uma só vez.

Os setores de turismo que são mais afetados

Um vazamento de dados de uma pequena operadora de turismo pode ser diferente de um vazamento contra uma companhia aérea de grande porte. O primeiro caso pode afetar menos consumidores, mas pode ser um entre diversos incidentes similares, enquanto o segundo caso pode expor informações que pertencem a um número grande de turistas ao mesmo tempo.

Para levar essas diferenças em conta, os pesquisadores agruparam as empresas afetadas em cinco setores do ramo de turismo: 

• Companhias aéreas
• Hotéis e resorts
• Programas de fidelidade e de recompensas
• Plataformas de reservas, agências de viagens online (OTAs), tours e provedores de atividades
• Empresas de aluguel de veículos, cruzeiros e trens.

Empresas de aluguel de veículos, cruzeiros e do setor ferroviário têm a maior parcela dos registros expostos, representando 27.7%. Plataformas de reservas, OTAs, tours e provedores de atividades ficam bem perto com 24.6%. Hotéis e resorts somam 23.7% e companhias aéreas somam 21.2%. Programas de fidelidade e de recompensas ficam em último lugar, com 2.8%.

A tabela abaixo mostra os dados com mais detalhes.

Plataformas de reserva, OTAs, operadoras de turismo e provedores de atividades formam a categoria mais afetada por violações de dados na pesquisa, totalizando 274 incidentes. Esse grupo abrange empresas de portes muito diversos, desde grandes sites de reservas até agências pequenas, operadoras de turismo regionais e provedores de atividades.

As companhias aéreas apresentaram um padrão oposto. Os pesquisadores registraram só 21 vazamentos envolvendo companhias aéreas, em comparação com os 274 incidentes na categoria que engloba plataformas de reserva, OTAs, operadoras de turismo e provedores de atividades. Mas esses 21 incidentes expuseram mais de 25,2 milhões de registros. Em média, uma violação envolvendo uma companhia aérea compromete cerca de 1,2 milhão de registros, um volume 11 vezes superior à média de aproximadamente 107 mil registros observada no grupo de plataformas de reserva, OTAs, operadoras de turismo e provedores de atividades.

Quais informações são expostas nos vazamentos de dados nas viagens?

Cada vazamento de dados analisado tinha endereços de e-mail, já que endereços únicos de e-mail expostos foram usados para medir o tamanho de cada vazamento. Mas a maioria dos incidentes também incluía outras informações pessoais.

Nomes completos aparecem em 92% dos vazamentos analisados, números de telefone em 87% e endereços em 78%. Mais da metade dos vazamentos inclui datas de nascimento (55%) e informações sobre gênero (53%), enquanto 46% contém senhas. A nacionalidade aparece em 19% dos vazamentos de dados e os documentos oficiais de identidade em 11%.

Juntos, esses detalhes podem construir um quadro muito preciso sobre uma pessoa. Alguém que consegue acesso a dados de viagens vazados pode saber seu nome completo, onde você vive, como te contactar e onde você nasceu. Dependendo do provedor e do vazamento, as informações expostas também podem incluir detalhes de nacionalidade e de identificação.

Os dados de viagem podem ser muito sensíveis porque muitas dessas informações são difíceis de mudar. Você pode até alterar uma senha comprometida, mas não pode mudar sua data de nascimento ou outras informações pessoalmente identificáveis.

Seus dados podem durar mais do que sua viagem

A pesquisa também aponta para um problema que não é tão óbvio: quem viaja ainda pode ter dados pessoais armazenados nos bancos de dados das empresas que usaram uma única vez. Plataformas de reservas, OTAs, operadores de turismo e provedores de serviços representam mais da metade dos vazamentos analisados e muitos desses serviços podem ser necessários só para uma única viagem.

Você pode se lembrar da empresa aérea com a qual viajou há cinco anos, mas provavelmente não vai conseguir se lembrar de cada empresa de turismo local, serviço de aluguel de veículos ou site de reservas que você usou. Dependendo das políticas da empresa e das exigências legais, esses serviços podem manter informações dos consumidores mesmo depois do fim da viagem. Uma conta antiga que você mal consegue se lembrar ainda pode ter informações pessoais suas, o que pode ser um problema se a empresa sofrer um vazamento de dados anos depois.

Como compartilhar menos dados pessoais nas suas viagens

Quem viaja não pode controlar como cada companhia aérea ou serviço de reservas protege sua própria infraestrutura. Mas cada pessoa pode ser mais seletiva sobre o que compartilha com essas empresas. Alguns hábitos simples podem ajudar a diminuir a quantidade de informações sensíveis que você deixa para trás:

• Evite criar contas desnecessárias. Antes de criar uma conta, veja se ela é realmente necessária ou se o serviço permite completar uma reserva usando checkout de convidado.
• Use senhas únicas e autenticação multifatorial (MFA). Uma senha única para cada conta significa que as credenciais expostas por um provedor não podem ser usadas em outro lugar. A MFA adiciona outra etapa de verificação, dificultando o acesso às suas contas mesmo que sua senha seja roubada.
• Remova informações pessoais salvas. Exclua métodos de pagamento armazenados e identifique documentos quando os serviços não precisarem mais deles.
• Cuidado ao fazer upload dos seus documentos. Passaportes e outros documentos de identidade emitidos pelo governo podem ser exigidos às vezes, mas não faça upload de nenhuma identidade só porque um formulário está pedindo. Verifique se a empresa precisa mesmo do documento, como ele será usado e se você pode dar as informações necessárias de outra forma.
• Verifique contas de viagens antigas. Apague as contas de viagens que você não precisa mais sempre que isso for possível. Solicite a remoção dos seus dados pessoais associados a essas contas.
• Tome cuidado. Desconfie de e-mails e mensagens estranhos sobre reservas de viagens com suspeita, principalmente se te pedirem para fazer login, compartilhar informações ou fazer pagamentos.

Metodologia

Os pesquisadores da NordVPN e do Saily analisaram vazamentos de dados de 1 de janeiro de 2021 a 18 de agosto de 2026, usando dados disponíveis através da plataforma de gerenciamento de exposição de ameaças NordLayer.

Os pesquisadores analisaram o catálogo de ameaças durante o período analisado e classificaram incidentes de vazamentos envolvendo companhias aéreas, hotéis e resorts, agências de turismo online e provedores de atividades, programas de fidelidade, serviços de aluguel de carros, cruzeiros e companhias de trem. Cada vazamento foi categorizado com base no nome da organização afetada, no domínio e na descrição. Os pesquisadores verificaram individualmente os principais incidentes e removeram os falsos positivos.

O tamanho de cada vazamento foi medido usando o número de endereços de e-mails únicos expostos. O conjunto de dados final tem 119.433.433 registros de turistas em 494 vazamentos relacionados a turismo. 

As descobertas mostram incidentes observados no conjunto de dados analisados e não deve ser interpretada como um número global completo dos vazamentos de dados do setor de turismo ou de registros de dados expostos dos turistas.