AT&T vai pagar US$ 177 milhões por dois vazamentos — e cada cliente deve receber entre US$ 7 e US$ 40

Em 2 de outubro, o juiz Sidney A. Fitzwater, do tribunal federal do Norte do Texas, deu aprovação final ao acordo de US$ 177 milhões que encerra as ações coletivas movidas contra a AT&T por dois incidentes reconhecidos pela operadora em 2024. A decisão rejeitou objeções de quem considerava o valor baixo: para o tribunal, o acordo é razoável “no contexto”, considerando os benefícios para o grupo e o risco de a disputa se arrastar por anos sem resultado.

Os dois vazamentos

O acordo cobre dois episódios distintos, anunciados no mesmo ano:

• o primeiro envolveu dados pessoais de clientes atuais e antigos — nome, endereço, data de nascimento e, em muitos casos, o número de seguridade social, o equivalente americano ao CPF —, que apareceram publicados na internet;
• o segundo envolveu registros de chamadas e mensagens de texto — quem ligou para quem, quando e por quanto tempo — de praticamente toda a base de clientes de um período de 2022.

Somados, mais de 100 milhões de pessoas foram afetadas por um ou pelos dois incidentes.

Quanto cada pessoa recebe

O fundo foi dividido em duas partes: US$ 149 milhões para o primeiro vazamento e US$ 28 milhões para o segundo. Descontados honorários e custos, as estimativas do administrador do acordo são de cerca de US$ 39 a 40 para quem teve o número de seguridade social exposto, US$ 7,50 a 8 para quem teve só os dados cadastrais e US$ 6,50 a 7 para os registros de chamadas. Quem comprovou prejuízo concreto pode receber mais. O pagamento só começa depois de esgotados os prazos de recurso — e, até a semana passada, não havia data.

O que esse número ensina

1. A conta chega, mesmo sem multa. Nenhuma autoridade precisou multar a AT&T para que o vazamento custasse US$ 177 milhões. Bastou a soma de ações de clientes. No Brasil, o caminho equivalente existe: a LGPD prevê a responsabilidade civil do controlador (art. 42) e permite a reparação individual ou coletiva, independentemente da sanção administrativa da ANPD.

2. Dado “só cadastral” também custa. Boa parte do fundo paga por nome, endereço e data de nascimento — informação que muita empresa trata como inofensiva. Combinada, ela alimenta fraudes por anos.

3. Metadado é dado pessoal. O segundo vazamento não tinha o conteúdo de nenhuma conversa, só os registros de quem falou com quem. Mesmo assim, valeu US$ 28 milhões. Registros de ligações, de acesso e de localização merecem a mesma proteção que o conteúdo.

4. Para o cliente, é pouco; para a empresa, é muito. Quarenta dólares não reparam uma identidade exposta. Mas 177 milhões, somados ao custo de resposta, à perda de clientes e a dois anos de litígio, transformam a prevenção em uma das decisões financeiras mais fáceis de defender.

Para quem administra dados de clientes no Brasil, a pergunta útil não é “quanto a ANPD pode multar”, e sim “quanto custaria pagar cada cliente” — e quantas das proteções que evitariam esse cenário cabem em uma fração desse valor.

Fontes

• Bloomberg Law — “AT&T’s $177 Million Data Breach Deal Gets Final Nod of Approval” (02/10/2026): news.bloomberglaw.com
• Site oficial do acordo (administrado pela Kroll): telecomdatasettlement.com

• Lei nº 13.709/2018 (LGPD) — art. 42, responsabilidade e ressarcimento de danos: planalto.gov.br

• Foto de capa: Whitacre Tower, sede da AT&T em Dallas — FoUTASportscaster, domínio público, via Wikimedia Commons

• Segunda imagem: logotipo da AT&T em um prédio de Dallas — Luismt94, CC BY-SA 4.0, via Wikimedia Commons