← Artigos e guias sobre fraudes, cibersegurança, LGPD e lavagem

Site do Corinthians hackeado: Messi em 2027 é fake; o que se sabe

Invasores publicaram no site do Corinthians a falsa contratação de Messi para 2027, dias após ataque ao Palmeiras. O que se sabe e como o torcedor se protege.

2026-11-01

Fake. Lionel Messi não foi anunciado como reforço do Corinthians para 2027. A “nota oficial” que apareceu no site do clube na madrugada de sábado, 31 de outubro de 2026, foi publicada por invasores. O texto trazia o título “Lionel Messi é o novo reforço do Timão para 2027” e uma imagem do argentino com a camisa alvinegra, segundo a Gazeta Esportiva. A página ainda inventava como a contratação seria financiada e atribuía a Messi frases que ele nunca disse, conforme o Diário 360.

O que o Corinthians disse sobre o ataque hacker?

O clube retirou a publicação e tirou o site do ar temporariamente; durante a manutenção, a página exibia apenas o escudo. Em nota, informou que sua equipe de tecnologia neutralizou o ataque, que não identificou prejuízo financeiro nem comprometimento de dados e que está reforçando os protocolos de segurança digital. O site da Neo Química Arena também ficou fora do ar de forma preventiva, segundo a Gazeta Esportiva. Os autores não foram identificados e não há, nas reportagens consultadas, menção a investigação policial.

O Palmeiras também foi hackeado?

Sim, dias antes. Na segunda-feira, 26 de outubro, o site oficial do Palmeiras passou a exibir a provocação “Palmeiras não tem Mundial”. Segundo o Bahia Notícias, citando o UOL, a invasão atingiu o site institucional, não a plataforma de ingressos, e o autor deixou observações técnicas sobre o sistema, mencionando ambiente de produção e banco de dados. Não há confirmação pública de que os dois casos tenham o mesmo autor.

O que é desfiguração de site (defacement)?

Defacement é quando alguém obtém acesso ao painel ou ao servidor de um site e altera o conteúdo visível — troca uma notícia, publica uma mensagem, uma imagem ou uma “nota oficial”. Costuma explorar falhas em plugins e sistemas de gerenciamento de conteúdo desatualizados, senhas fracas ou reutilizadas de administradores e contas sem verificação em duas etapas. Nem todo defacement envolve roubo de dados, mas ele mostra que houve acesso indevido, e por isso a investigação técnica precisa verificar se o invasor foi além da página.

Afirmação	Veredito
Messi foi anunciado pelo Corinthians para 2027	Fake — publicação feita por invasores
O site do Corinthians foi invadido em 31/10	Verdade — confirmado pelo clube
Dados de torcedores vazaram	Sem evidência — o clube diz não ter identificado comprometimento
O Palmeiras sofreu invasão na mesma semana	Verdade — em 26/10, no site institucional

Por que um anúncio falso pode virar golpe?

Notícias bombásticas sobre ídolos se espalham em minutos, e golpistas costumam aproveitar a onda com links de “pré-venda de ingressos”, “camisa oficial do Messi” ou “sorteio exclusivo para sócios”. Mesmo sem relação com os invasores, esse tipo de oportunismo é comum após qualquer fato viral. A regra é simples: anúncio oficial se confirma nos canais oficiais do clube e na imprensa esportiva, não em print compartilhado no WhatsApp.

Como o torcedor se protege agora?

Não clique em links de ingressos, camisas ou promoções ligados ao “anúncio” de Messi.
Digite o endereço do site do clube ou use o aplicativo oficial; veja como verificar se um site é confiável.
Troque a senha do programa de sócio-torcedor se ela for igual à de outros serviços e ative a verificação em duas etapas onde houver.
Desconfie de contatos por e-mail ou SMS citando o ataque e pedindo “atualização cadastral”.
Se o clube comunicar vazamento no futuro, siga o guia o que fazer se seus dados vazaram.

E o que clubes e empresas devem aprender?

Sites institucionais são vitrine de marca e, muitas vezes, porta de entrada para sistemas de sócios e ingressos. Atualizar o gerenciador de conteúdo e plugins, exigir MFA resistente a phishing para administradores (veja passkeys e MFA), separar o site da base de dados de clientes e manter logs são medidas básicas. Se houver dados pessoais envolvidos, a LGPD exige avaliar e comunicar o incidente à ANPD e aos titulares quando houver risco relevante — veja as regras no Brasil. Acompanhe novos casos no radar.