California registra brecha na Baanx US Corp.

California publicou uma amostra do aviso de notificação de brecha apresentado pela Baanx US Corp. e registrou como data conhecida do incidente 23 de setembro de 2026. Em paralelo, análises citadas por fontes externas afirmam que houve duas vias de acesso não autorizado, uma por meio de um fornecedor externo e outra por um sistema administrativo interno, mas essa versão não foi confirmada oficialmente no material disponível.

O que California informou sobre a Baanx?

A Procuradoria-Geral da Califórnia divulgou uma amostra do aviso de notificação de brecha apresentado pela Baanx US Corp. e registrou a data conhecida do incidente. Esse registro oficial situa o caso em 23 de setembro de 2026, segundo o documento publicado pela Cybercrime Section.

O aviso se soma a reportes anteriores que analisaram a notificação da Baanx e descreveram o caso como uma exposição de dados de usuários nos Estados Unidos. Ainda assim, o dado oficial que consta na base da Califórnia é a existência do aviso e a data conhecida do incidente, sem detalhamento técnico ampliado sobre o alcance total do comprometimento.

O que dizem as análises sobre o acesso não autorizado?

Segundo fontes que analisaram o aviso, a Baanx teria identificado dois caminhos de acesso não autorizado, um ligado a um fornecedor externo e outro a um sistema administrativo interno. Essa interpretação é atribuída à Cypro e segue como uma alegação não confirmada oficialmente no material disponível.

A mesma fonte indicou que a Baanx disse não ter encontrado evidência de acesso a fundos de clientes no momento da notificação. A DaPeer, por sua vez, afirmou que a empresa redefiniu senhas e a autenticação de dois fatores das contas Crypto Life afetadas, além de oferecer 24 meses de proteção de identidade e monitoramento de crédito por meio do Experian IdentityWorks.

Qual é o alcance do material disponível?

O expediente público disponível confirma a existência do aviso e a data conhecida do incidente, mas não traz confirmação oficial mais ampla sobre o mecanismo exato do acesso ou sobre o impacto final para os clientes. Os detalhes de exploração, resposta interna e medidas de mitigação aparecem em análises atribuídas a terceiros, não na notificação oficial citada no material.

No mesmo conjunto de fontes, a KELA relatou ainda uma infraestrutura ativa de phishing com 248 domínios fraudulentos ligados a 189 bancos e serviços financeiros dos Estados Unidos. A operação usava sites clonados e páginas falsas de conta suspensa para dificultar a detecção e manter online os sites de fraude.