O Escândalo do UK Visa Portal: Vazamento de Dados de 100 Mil Pessoas e uma Retaliação Jurídica Contra o Jornalismo

No final de maio de 2026, uma falha de segurança em um serviço terceirizado de solicitação de vistos deixou documentos de identidade altamente sensíveis de mais de 100.000 pessoas expostos para qualquer um encontrar. O site, que operava sob o nome UK Visa Portal, não estava conectado à infraestrutura oficial do governo do Reino Unido, mas se apresentava como um canal pago de assistência para vistos . Muitos solicitantes, sob a falsa impressão de estarem usando um serviço oficial, enviaram seus passaportes, fotos biométricas e dados pessoais . A resposta da empresa à descoberta desse vazamento, no entanto, pode ter sido ainda mais alarmante do que o próprio vazamento.

A Vulnerabilidade: Um Balde S3 Público da Amazon e uma Falha de Backend

De acordo com uma reportagem do TechCrunch, a exposição foi causada por um "balde" (bucket) Amazon S3 mal configurado, usado para armazenar os documentos enviados . Um pesquisador de segurança anônimo descobriu que uma falha de backend no site do UK Visa Portal permitia que o diretório completo de arquivos armazenados fosse enumerado, ou seja, a própria lista de conteúdos estava acessível publicamente . Nenhuma senha ou autenticação era necessária para acessar os arquivos, que incluíam digitalizações de passaportes, selfies de identidade e outros dados de solicitação .

O TechCrunch conseguiu verificar a autenticidade do vazamento entrando em contato com várias pessoas cujos dados pessoais estavam entre os registros expostos, confirmando que os documentos correspondiam a solicitações reais . A escala do incidente foi imensa: acreditava-se que pelo menos 100.000 documentos sensíveis estavam vulneráveis .

Quem Estava Por Trás do UK Visa Portal?

O site operava como um serviço comercial completamente independente, sem nenhuma afiliação com o Home Office (equivalente ao Ministério da Justiça e Segurança Pública) ou o GOV.UK . Ele era supostamente operado pela Active Leadgen LLC, uma empresa registrada nos Emirados Árabes Unidos . A plataforma cobrava taxas para auxiliar usuários com Autorizações Eletrônicas de Viagem (ETAs) do Reino Unido e outras solicitações relacionadas à imigração — processos que muitas vezes podem ser concluídos pelos próprios usuários diretamente no GOV.UK gratuitamente ou por um custo muito menor .

O site também carecia de uma funcionalidade essencial para qualquer plataforma que lida com informações tão sensíveis: um ponto de contato adequado ou um mecanismo para reportar problemas de segurança . Essa ausência provavelmente prolongou o tempo em que os dados permaneceram expostos, já que não havia uma maneira fácil para pesquisadores ou usuários sinalizarem o problema.

A Resposta da Empresa: Ameaças Legais em Vez de Correção

O aspecto mais controverso do incidente foi a forma como a empresa escolheu agir — ou melhor, não agir — quando o problema foi descoberto. Quando o TechCrunch entrou em contato para alertar a empresa e se preparou para publicar suas descobertas, a reportagem indicou que o UK Visa Portal não havia corrigido a falha de segurança até o momento da publicação .

Em vez de proteger imediatamente os servidores expostos e emitir um comunicado público ou notificar os usuários, a operadora tomou um caminho diferente. Relatórios confirmaram que a Active Leadgen LLC despachou representantes legais em uma aparente tentativa de ameaçar o TechCrunch por causa da publicação da história . O bucket só foi protegido durante a noite, horas depois que a história do TechCrunch foi ao ar — não antes da publicação, e não em resposta à revelação ética .

Implicações e Riscos para as Vítimas

O conjunto de dados expostos criou um sério risco de roubo de identidade e fraude. Ao combinar digitalizações de passaportes em alta resolução com selfies de verificação e potencialmente metadados de GPS, agentes maliciosos poderiam usar os dados para realizar fraudes financeiras, abrir contas ou executar ataques de engenharia social . Como muitas vítimas não tinham motivos para suspeitar que estavam usando um serviço não governamental, a exposição foi um choque. O canal oficial do governo do Reino Unido para solicitações de visto continua sendo o GOV.UK, e este incidente serve como um alerta contundente para que se examinem minuciosamente serviços terceirizados que solicitam documentos de identidade altamente sensíveis.