Conversas com a IA do Notion caem na mão de hackers após ataque a fornecedor

Colar atas de reunião, planos de produtos inéditos ou até senhas no chat de inteligência artificial do trabalho parece um atalho inofensivo do dia a dia. Para uma fração dos clientes do Notion (abre em nova aba), esse hábito virou um problema de segurança confirmado em novembro de 2026. Hackers invadiram os sistemas da Fireworks AI (abre em nova aba), uma fornecedora terceirizada de infraestrutura de inteligência artificial, e acessaram transcrições de conversas de usuários com o assistente Notion AI. O incidente atingiu menos de 1% dos espaços de trabalho da plataforma (os chamados workspaces, ambientes virtuais onde equipes organizam documentos e tarefas), e os clientes afetados foram notificados em 9 de novembro, sem que o número exato de atingidos fosse revelado.⁠​‌​​‌​​‌​‌​​​​​‌​​‌​‌‌‌​​‌‌​​​‌‌​‌‌​‌‌‌‌​‌‌​‌‌​‌​​‌​‌‌‌​​‌‌​​​‌​​‌‌‌​​‌​​‌‌‌‌‌​​​​‌‌‌​​​​​‌‌​‌​​​​‌‌​​​​​‌‌​​​‌‌​​‌‌​‌​‌​​‌‌​‌​​​​‌‌​​‌​​​‌‌​‌‌‌​​‌​‌‌​‌​​‌‌‌​​​​​‌‌​​‌​​‌‌​​​​‌​‌‌​​‌‌​​​‌​‌‌​‌​​‌‌​‌​​​​‌‌​​​​​‌‌​​​‌​​​‌‌​​‌‌​​‌​‌‌​‌​​‌‌‌​​‌​​‌‌​‌​‌​‌‌​​​‌​​‌‌​​‌​​​​‌​‌‌​‌​‌‌​​‌‌​​​‌‌​‌‌​​​‌‌​‌‌​​‌‌​​​​‌​​‌‌​​‌‌​​‌‌‌​​‌​​‌‌​‌‌‌​​‌‌‌​​​​​‌‌​​‌‌​​‌‌​​‌‌​​‌‌​​​‌​​‌‌​‌​​⁠

O Notion utilizava a Fireworks AI como um provedor de inferência, ou seja, um serviço de bastidores encarregado de processar os pedidos dos usuários e gerar as respostas usando modelos de pesos abertos (sistemas de IA cuja estrutura principal é aberta para que outras empresas possam rodá-los de forma personalizada). A documentação da Fireworks AI afirma que a empresa opera por padrão com retenção zero de dados: perguntas e respostas ficam apenas na memória temporária durante o processamento e somem logo depois. Só que a própria política da fornecedora abre exceções para recursos específicos que exigem armazenamento, como respostas salvas, treinamentos e tarefas em lote.

Foi exatamente nessa área de armazenamento que as conversas do Notion ficaram retidas. Os arquivos expostos faziam parte do recurso Insights, uma ferramenta desenhada para ajudar empresas a entenderem como suas equipes usavam o assistente de IA. A invasão que comprometeu esses registros começou em 23 de outubro de 2026, quando criminosos violaram um provedor de nuvem terceirizado que hospedava máquinas de pesquisa e desenvolvimento da Fireworks AI. No dia 24 de outubro, os invasores usaram essa brecha para alcançar os sistemas de desenvolvimento da fornecedora e executar tarefas não autorizadas. A Fireworks conteve o ataque no mesmo dia, mas só avisou o Notion na noite de 2 de novembro, informando inicialmente que apenas dados sintéticos de teste haviam sido acessados.

Na manhã de 3 de novembro, por precaução, o Notion desconectou seus sistemas da Fireworks AI, apagou todos os dados armazenados na parceira e encerrou toda a comunicação técnica com ela. A empresa também desativou a função Insights e deixou de usar modelos de pesos abertos por meio da fornecedora. Em 6 de novembro, a Fireworks AI enviou um novo alerta indicando que dados reais de clientes poderiam ter sido alcançados, e confirmou a lista final de arquivos afetados em 8 de novembro.⁠​‌​​‌​​‌​‌​​​​​‌​​‌​‌‌‌​​‌‌​​​‌‌​‌‌​‌‌‌‌​‌‌​‌‌​‌​​‌​‌‌‌​​‌‌​​​‌​​‌‌‌​​‌​​‌‌‌‌‌​​​​‌‌‌​​​​​‌‌​‌​​​​‌‌​​​​​‌‌​​​‌‌​​‌‌​‌​‌​​‌‌​‌​​​​‌‌​​‌​​​‌‌​‌‌‌​​‌​‌‌​‌​​‌‌‌​​​​​‌‌​​‌​​‌‌​​​​‌​‌‌​​‌‌​​​‌​‌‌​‌​​‌‌​‌​​​​‌‌​​​​​‌‌​​​‌​​​‌‌​​‌‌​​‌​‌‌​‌​​‌‌‌​​‌​​‌‌​‌​‌​‌‌​​​‌​​‌‌​​‌​​​​‌​‌‌​‌​‌‌​​‌‌​​​‌‌​‌‌​​​‌‌​‌‌​​‌‌​​​​‌​​‌‌​​‌‌​​‌‌‌​​‌​​‌‌​‌‌‌​​‌‌‌​​​​​‌‌​​‌‌​​‌‌​​‌‌​​‌‌​​​‌​​‌‌​‌​​⁠

Pode parecer um alívio ler no comunicado do Notion que a grande maioria das transcrições vazadas não tinha identificação de origem. Na prática, os arquivos estavam sem etiquetas técnicas que ligassem o chat ao nome de quem escreveu, à conta do usuário ou à empresa dona do espaço de trabalho, e não continham resultados de comandos executados em ferramentas integradas. Essa proteção técnica esbarra no próprio conteúdo das mensagens: se um funcionário digitou o nome da empresa, detalhes de clientes, senhas ou chaves de API (códigos secretos usados para autenticar e conectar diferentes programas) dentro da conversa, o texto entrega o dono e pode dar dor de cabeça. Por isso, o Notion orientou os clientes notificados a tratarem os dados daqueles chats como expostos e enviou instruções para baixar e revisar os históricos com segurança.

O episódio revela o efeito dominó de falhas na cadeia de suprimentos de tecnologia. Este foi o segundo vazamento de dados sofrido pela Fireworks AI em um intervalo de semanas. Antes da invasão de 23 de outubro, a empresa já havia detectado, em 6 de outubro de 2026, o uso indevido de credenciais internas que deu acesso a variáveis de ambiente com chaves de API e tokens de um número limitado de contas. No segundo ataque, somados aos chats do Notion, registros de faturamento, conjuntos de dados e partes incompletas de modelos de outros clientes da Fireworks foram acessados. A fornecedora, que contou com o auxílio da unidade de segurança Unit 42, da Palo Alto Networks (abre em nova aba), para revogar os acessos comprometidos, afirma acreditar que os criminosos têm motivação financeira e praticam o chamado LLMJacking: o roubo de chaves de acesso a grandes modelos de linguagem para revender o uso de IA a terceiros às custas da vítima.

O Notion cortou relações com a fornecedora em poucas horas após o primeiro aviso, mas os arquivos já haviam sido copiados. Quando um aplicativo de trabalho guarda exceções nos contratos de retenção de dados de parceiros que o usuário final sequer sabe que existem, como garantir que o segredo digitado no chat da empresa vai continuar restrito à equipe?⁠​‌​​‌​​‌​‌​​​​​‌​​‌​‌‌‌​​‌‌​​​‌‌​‌‌​‌‌‌‌​‌‌​‌‌​‌​​‌​‌‌‌​​‌‌​​​‌​​‌‌‌​​‌​​‌‌‌‌‌​​​​‌‌‌​​​​​‌‌​‌​​​​‌‌​​​​​‌‌​​​‌‌​​‌‌​‌​‌​​‌‌​‌​​​​‌‌​​‌​​​‌‌​‌‌‌​​‌​‌‌​‌​​‌‌‌​​​​​‌‌​​‌​​‌‌​​​​‌​‌‌​​‌‌​​​‌​‌‌​‌​​‌‌​‌​​​​‌‌​​​​​‌‌​​​‌​​​‌‌​​‌‌​​‌​‌‌​‌​​‌‌‌​​‌​​‌‌​‌​‌​‌‌​​​‌​​‌‌​​‌​​​​‌​‌‌​‌​‌‌​​‌‌​​​‌‌​‌‌​​​‌‌​‌‌​​‌‌​​​​‌​​‌‌​​‌‌​​‌‌‌​​‌​​‌‌​‌‌‌​​‌‌‌​​​​​‌‌​​‌‌​​‌‌​​‌‌​​‌‌​​​‌​​‌‌​‌​​⁠