O vazamento do Ashley Madison: o que aconteceu e o que ele ensina sobre privacidade
O vazamento do Ashley Madison, em agosto de 2015, colocou na internet dados de mais de 36 milhões de contas de um site feito para quem buscava um caso fora do casamento. Veja o que aconteceu, o que a empresa prometia e não cumpria, as extorsões que vieram depois e o que o caso ensina a quem escolhe um app discreto hoje.
O que era o Ashley Madison em 2015
O Ashley Madison é um site canadense de encontros para pessoas casadas ou comprometidas, com sede em Toronto. Segundo a Comissão Federal de Comércio dos Estados Unidos (FTC), estava no ar desde 2002 e tinha membros em mais de 46 países. Em 2015, pertencia à Avid Life Media, que no ano seguinte passou a se chamar Ruby Corp.
A discrição era o produto. De acordo com a queixa que a FTC levou à Justiça americana em dezembro de 2016, a página inicial exibia o ícone de um "Trusted Security Award" e a frase “100% Discreet Service”, e executivos descreviam o site como "100% secure", "risk free" e "completely anonymous".
O vazamento do Ashley Madison, passo a passo
A cronologia segue a queixa da FTC, o relatório conjunto dos comissários de privacidade do Canadá e da Austrália (agosto de 2016) e a cobertura do jornalista Brian Krebs, que noticiou o ataque.
- 12 de julho de 2015. Funcionários percebem uma grande transferência de dados entre bancos de dados da empresa.
- 13 de julho. Uma mensagem aparece em computadores do atendimento: um grupo que se apresenta como Impact Team exige que a empresa tire do ar, para sempre, o Ashley Madison e o Established Men, outro site do grupo. Senão, publicaria os dados dos clientes e documentos internos.
- 19 de julho. O ultimato se torna público, e Krebs revela o caso no KrebsOnSecurity. Entre os motivos, o grupo citava a exclusão paga de contas, que chamava de mentira.
- 18 e 20 de agosto. Os dados são publicados. Segundo a FTC, eram informações de mais de 36 milhões de contas: nome completo de quem pagava, apelido e e-mail de quem não pagava, estado civil, preferências sexuais, senhas protegidas por hash, endereço de cobrança e os quatro últimos dígitos do cartão.
- 24 de agosto. A polícia de Toronto relata tentativas de extorsão, alerta contra sites que cobravam para "apagar" nomes da base, algo impossível de cumprir, e menciona dois relatos, não confirmados, de suicídio ligados ao vazamento.
- 28 de agosto. Noel Biderman deixa o cargo de presidente-executivo da Avid Life Media, em comum acordo com a empresa, segundo comunicado do mesmo dia.
- Setembro. O grupo de pesquisadores CynoSure Prime mostra ter recuperado mais de 11 milhões de senhas. A maioria usava bcrypt, um método robusto, mas um trecho antigo do sistema guardava versões das senhas com MD5, bem mais fraco.
Os autores nunca foram identificados publicamente. Numa retrospectiva de 2022, Krebs registrou que ninguém tinha sido acusado pelo ataque até então.
A "exclusão completa" que não apagava tudo
Quem queria sair tinha duas opções: uma desativação gratuita, que só tirava o perfil das buscas, ou o "Full Delete". A exclusão completa custava 19 dólares e prometia remover perfil, mensagens, fotos e dados pessoais.
Segundo a FTC, o perfil saía do site em até 48 horas, mas os dados pessoais ficavam guardados por até 12 meses, e às vezes nem eram removidos dos sistemas internos. Só depois de pagar a pessoa era avisada de que algumas informações ficariam "por 6 a 12 meses", por razões legais e financeiras. O relatório conjunto achou ainda fotos de contas excluídas que, por erro, nunca foram apagadas, e perfis desativados guardados sem prazo.
Resultado: dados de quem pagou para sumir apareceram no vazamento. Só nos Estados Unidos, de dezembro de 2012 a dezembro de 2015, 125.714 pessoas pagaram pela exclusão completa, de acordo com a FTC.
Um e-mail na lista não provava nada
O site não confirmava os e-mails do cadastro, e o relatório conjunto aponta a consequência: alguém podia ser associado ao Ashley Madison sem nunca ter usado, bastava outra pessoa cadastrar o seu endereço. Mesmo assim, segundo a FTC, logo surgiram sites em que qualquer um digitava um e-mail e via se ele estava na base. Foi combustível para humilhação pública e chantagem.
As ondas de extorsão
As ameaças começaram ainda em 2015. O relatório conjunto registra tentativas de extorsão contra pessoas da lista, com a ameaça de contar à família ou ao empregador.
E os dados não envelheceram. No começo de 2020, a empresa de segurança Vade Secure, hoje parte da Hornetsecurity, identificou uma nova onda de e-mails, sobretudo nos Estados Unidos, na Austrália e na Índia. As mensagens citavam dados reais da conta, como a data de cadastro e o apelido, e escondiam num PDF protegido por senha o pedido de pouco mais de mil dólares em bitcoin, com prazo de seis dias.
Se você receber algo parecido, de qualquer serviço: não pague, guarde as provas e procure ajuda. O passo a passo está no texto sobre o que fazer depois de um vazamento de dados em app de namoro. Se a pressão ficar pesada demais, o CVV atende pelo 188, 24 horas, de graça.
Acordos, multas e uma série documental
- Canadá e Austrália, agosto de 2016. A investigação conjunta apontou falhas de segurança, guarda de dados sem prazo e um selo de segurança fictício, considerado enganoso. A empresa se comprometeu com mudanças, como confirmar e-mails e acabar com a guarda indefinida.
- Estados Unidos, dezembro de 2016. A FTC, 13 estados e o Distrito de Columbia fecharam acordo de 1,6 milhão de dólares com os operadores do site. As acusações: perfis femininos falsos para convencer homens a pagar, exclusão paga que não apagava tudo, um prêmio de segurança que nunca existiu e falhas de proteção da rede. O acordo exige um programa de segurança da informação com avaliações independentes a cada dois anos.
- Ação coletiva, julho de 2017. A Ruby Corp aceitou pagar 11,2 milhões de dólares para encerrar a ação coletiva de usuários nos Estados Unidos, sem admitir irregularidades.
- Netflix, maio de 2024. A série documental Ashley Madison: Sexo, Mentiras e Escândalo, em três episódios, reconstitui o caso.
O que o caso ensina a quem escolhe um app discreto
Quase tudo o que deu errado em 2015 vira uma pergunta a fazer para qualquer app hoje. Abaixo, cada lição e o que o Sigilus faz a respeito, incluindo o que não faz. Para o panorama de quem é comprometido, veja app de relacionamento para casados.
Pedir o mínimo de dados
O vazamento só expôs nome, endereço e cartão porque a empresa guardava tudo isso. O que não é coletado não pode ser roubado. No Sigilus, o cadastro pede apelido, e-mail e senha, sem nome real nem contatos, e, como hoje todos os recursos são gratuitos, não há cartão cadastrado.
Excluir de verdade, na hora e sem cobrar
No Sigilus, "Excluir conta" apaga perfil, fotos, cofre, matches e mensagens na hora, sem custo, e "Baixar meus dados" exporta uma cópia antes. As cópias de segurança do servidor expiram em até 7 dias. O que a lei obriga a manter, como os registros de acesso guardados por 6 meses pelo Marco Civil da Internet, está na Política de Privacidade. Para pedir exclusão em outros apps, use o guia como apagar seus dados de um app de namoro.
Dados cifrados e senhas bem protegidas
No Sigilus, senhas e PINs são protegidos com Argon2id, e mensagens e fotos do chat ficam cifradas no servidor com AES-256-GCM. Mas é preciso dizer com todas as letras: não há criptografia de ponta a ponta. O servidor guarda as chaves, e nenhum sistema é inviolável. Cifrar diminui o estrago de um vazamento, não garante que ele nunca aconteça.
Não usar nome real nem o e-mail principal
Quem usou o e-mail de sempre ficou fácil de achar. Use um apelido e um e-mail criado só para isso, sem o seu nome. No Sigilus, o e-mail fica cifrado e nunca aparece para ninguém, e um endereço separado continua sendo uma boa camada extra.
Desconfiar de selos e promessas absolutas
Selo de segurança inventado, "anônimo", "sem risco": promessa grande demais é sinal de alerta. Um app sério diz o que protege e o que não protege. O checklist de app de relacionamento discreto ajuda nessa avaliação.
Perguntas frequentes
Como saber se o meu e-mail estava no vazamento do Ashley Madison?
O Have I Been Pwned, serviço gratuito do especialista australiano Troy Hunt, inclui esse vazamento, mas o classifica como sensível: só o dono do endereço vê o resultado, depois de confirmar o e-mail no painel do serviço. Lembre que o site não confirmava e-mails, então estar na lista não prova uso.
Os responsáveis pelo ataque foram presos?
Não há notícia disso. O Impact Team nunca foi identificado publicamente.
O Ashley Madison ainda existe?
Sim. O site continua em operação, e o aplicativo segue na App Store, gratuito para baixar e com compras dentro do app (informação conferida em setembro de 2026).