Um vazamento ocorrido em dezembro de 2025 comprometeu nome e CPF de clientes. A empresa conteve o ataque e garantiu que senhas e dados financeiros não foram afetados.

No dia 03 de junho de 2026, o aplicativo iFood confirmou que um vazamento de dados afetou cerca de 1,2 milhão de seus usuários. O incidente, que ocorreu em dezembro de 2025, representou aproximadamente 2% da base de clientes da empresa. A boa notícia é que o ataque cibernético foi rapidamente contido, evitando maiores complicações.

A empresa esclareceu que os dados vazados incluíam informações cadastrais, como nome e CPF, mas não houve comprometimento de senhas, meios de pagamento ou registros financeiros. O iFood caracterizou a situação como um incidente isolado, que foi prontamente neutralizado por seus protocolos de segurança robustos.

Em relação à comunicação do incidente, o iFood optou por não notificar a Autoridade Nacional de Proteção de Dados (ANPD), uma vez que considerou que o evento não apresentava risco ou dano relevante aos titulares, conforme os critérios estabelecidos pelo órgão. A ANPD, em nota, confirmou que não recebeu qualquer comunicação sobre a segurança do iFood, mas requisitou informações adicionais para melhor compreender a situação.

A legislação pertinente, a Lei Geral de Proteção de Dados (LGPD), exige que o controlador dos dados informe à ANPD e aos titulares sobre incidentes que possam acarretar riscos. De acordo com a ANPD, a avaliação de risco deve levar em conta a natureza dos dados afetados e o número de usuários impactados, além dos possíveis efeitos do incidente.

Recentemente, um site de cibersegurança, o Dark Web Informer, relatou que um usuário em um fórum de hackers alegou ter acessado dados de 43,8 milhões de usuários do iFood, incluindo CPFs, nomes completos, e-mails, números de telefone e dados de cartões de crédito. Este hacker teria solicitado que a empresa entrasse em contato até o dia 10 de junho para discutir um pagamento não especificado em troca das informações. No entanto, o iFood reafirmou que a magnitude do vazamento está restrita aos 1,2 milhão de usuários e que apenas dados cadastrais foram comprometidos.