A VRChat, Inc. apresentou uma notificação de violação de dados revelando que as informações de mais de 2,4 milhões de usuários foram afetadas por uma violação de dados.
De acordo com o comunicado, o VRChat sofreu um acesso não autorizado a alguns dados de contas entre 10 e 12 de maio de 2026. O acesso ocorreu no ambiente de nuvem do VRChat e envolveu dados de perfis de usuários e dados relacionados ao login.
As informações expostas variavam de acordo com a conta, mas podiam incluir:
- Nome de usuário no VRChat
- Endereço de e-mail associado à conta do VRChat
- Status da assinatura do VRChat+
- Histórico de login, incluindo informações do dispositivo, identificadores de hardware e endereços IP
O VRChat afirma explicitamente que senhas, números de cartão de crédito ou outras informações de pagamento, bem como documentos de identificação oficiais utilizados para verificação de idade, não foram comprometidos.
O VRChat é uma plataforma social desenvolvida principalmente para óculos de realidade virtual, permitindo que os usuários interajam uns com os outros por meio de avatares e mundos 3D criados pelos próprios usuários. Os usuários podem acessar o VRChat pelo Steam para PC, pela Meta Quest Store ou como um Android em dispositivos compatíveis.
Como não houve exposição de senhas ou dados de cartões de pagamento, é improvável que ocorra fraude direta com cartões ou a apropriação imediata dos meios de pagamento apenas por causa dessa violação. No entanto, mesmo sem senhas ou dados de cartões, a combinação de identificadores, e-mails e dados de IP/dispositivos gera vários riscos para os usuários afetados.
Riscos potenciais
Phishing
Os cibercriminosos podem usar nomes de usuário e endereços de e-mail do VRChat em tentativas de phishing direcionadas. Por exemplo, os usuários podem receber e-mails de phishing ou mensagens dentro da plataforma que alegam ser do “Suporte do VRChat”, com alertas de segurança falsos ou solicitações para “confirmar sua verificação de idade” por meio de um link malicioso.
O conhecimento do status da assinatura do VRChat+ pode tornar os golpes mais convincentes. Um golpista poderia enviar iscas personalizadas, como “problema de cobrança com sua assinatura do VRChat+” ou golpes envolvendo reembolso, que tendem a ter taxas de cliques mais altas entre os usuários pagantes.
Apropriação indevida de conta
Os cibercriminosos podem combinar nomes de usuário e endereços de e-mail obtidos nessa violação com senhas roubadas em outras violações de dados e tentá-las em contas do VRChat. Essa técnica, conhecida como “credential stuffing”, aproveita-se do fato de que as pessoas reutilizam senhas em vários sites.
Essas contas valiosas podem então ser vendidas a outros jogadores ou utilizadas para golpes.
Identity
Os IDs de usuário do Steam e do Meta vinculados a contas do VRChat podem ajudar os cibercriminosos a associar identidades entre plataformas de jogos e redes sociais, especialmente se o mesmo e-mail ou nome de perfil for reutilizado.
Endereços IP, histórico de login, informações sobre o dispositivo e outros identificadores também podem ajudar a criar um perfil publicitário ou de rastreamento mais detalhado de um usuário.
Como se manter seguro
O VRChat afirma ter implementado controles de segurança adicionais e contratado profissionais para monitorar possíveis ameaças futuras. Se você foi afetado pela violação, aqui estão algumas medidas que pode tomar para se proteger:
Em primeiro lugar, tenha cuidado com e-mails, mensagens de texto ou ligações que aleguem ser do VRChat ou das plataformas de jogos nas quais você o utilizou, pois os cibercriminosos costumam explorar brechas de segurança por meio de golpes de phishing.
Se você já usou sua senha do VRChat em algum outro lugar, altere as senhas dessas contas imediatamente e configure a autenticação de dois fatores (2FA) na sua conta do VRChat, caso ainda não tenha feito isso.
Você pode encontrar mais orientações gerais em nosso artigo sobreo que fazer ao descobrir que está envolvido em uma violação de dados.
Vamos ser sinceros: uma janela anônima tem suas limitações.
Violações de dados, comércio na dark web, fraudes de crédito. Malwarebytes Identity Theft monitora tudo isso, avisa você rapidamente e inclui um seguro contra roubo de identidade.
