Dados vazados: o que fazer quando os seus aparecem

Em janeiro de 2021, o Tecnoblog revelou um dos maiores casos de dados vazados do país: cerca de 223 milhões de CPFs de brasileiros estavam disponíveis de graça num fórum. A versão gratuita trazia nome completo, data de nascimento e gênero. A versão paga oferecia 37 categorias de informação, entre elas endereço, telefone, e-mail, score de crédito e renda.

A Polícia Federal deflagrou a Operação Deepwater em março daquele ano e prendeu um suspeito em Uberlândia (MG). Um ano depois, segundo a apuração do Tecnoblog, a origem da base ainda não tinha confirmação pública.

Quem tem CPF no Brasil tem bons motivos para supor que os seus dados vazados já circulam, desse caso ou de outro, e a pergunta útil é o que fazer quando o aviso chega.

O dado vazado não volta. O que você controla é o que ele ainda destrava, e quase tudo que ele destrava passa por senha repetida e pela confiança em quem já sabe os seus dados.

Como saber se os seus dados vazados estão circulando

Comece pelo e-mail, porque ele é a chave de recuperação de quase todas as outras contas. O Have I Been Pwned é um serviço de busca e notificação de vazamentos. Você digita o endereço e o site lista os incidentes em que ele apareceu, com os tipos de dado expostos em cada um. Na mesma página há o cadastro para receber aviso de vazamentos futuros.

O tipo de dado exposto muda a reação. Um vazamento que expôs só e-mail e nome pede atenção a phishing. Um que expôs senha, mesmo em forma de hash, pede troca imediata em todo lugar onde aquela senha se repete.

Para o CPF, a consulta mais útil é o Registrato do Banco Central. Ele emite três relatórios que interessam aqui:

• Empréstimos e Financiamentos: as operações de crédito registradas no seu CPF
• Contas e Relacionamentos: as instituições financeiras em que você tem conta ou vínculo
• Chaves Pix: as chaves cadastradas no seu nome

O acesso é gratuito. Você entra com a conta gov.br nível prata ou ouro, e a verificação em duas etapas precisa estar ativa na conta gov.br. As informações costumam ser atualizadas até o dia 20 do mês seguinte, então uma conta aberta ontem pode não aparecer hoje.

O terceiro ponto de checagem são os birôs de crédito. A Serasa, por exemplo, avisa por e-mail ou SMS quando uma empresa consulta o seu CPF, dentro da assinatura paga Serasa Premium. Consulta que você não fez pode ser o primeiro sinal de alguém tentando crédito no seu nome.

O que cada dado vazado destrava

Dados vazados pedem reações diferentes conforme o tipo. A tabela separa os casos mais comuns.

Repare que a coluna da direita quase nunca fala do dado em si. O CPF continua o mesmo, o endereço também. As ações mexem nas portas que esses dados abrem.

O que fazer, em ordem

Com dados vazados confirmados, a ordem importa, porque o e-mail recupera o resto. Se alguém toma o seu e-mail, troca a senha de todas as outras contas pelo "esqueci a senha".

1. Proteja o e-mail principal. Troque a senha por uma longa e exclusiva e ative a verificação em duas etapas. Confira os dispositivos conectados e encerre as sessões que você não reconhece.
2. Troque toda senha repetida. Senha usada em dois lugares vira senha vazada nos dois. Um gerenciador de senhas gera e guarda uma senha diferente por serviço, e você só decora a senha mestra.
3. Ative a verificação em duas etapas fora do SMS. Aplicativo autenticador, chave física ou passkey resistem melhor que o código por mensagem, que cai com troca de chip. O post sobre MFA compara os métodos, e o de SIM swap e OTP por SMS explica por que o SMS ficou para trás.
4. Revise as chaves Pix e as contas no Registrato. Chave que você não cadastrou ou conta que você não abriu é uso indevido. Contate a instituição na hora e peça o encerramento por escrito.
5. Ative alerta de consulta ao CPF. O aviso de consulta chega antes do empréstimo aprovado, e isso dá tempo de contestar.
6. Registre boletim de ocorrência se houver uso indevido. Com o BO em mãos, a contestação com banco, loja ou operadora anda mais rápido. Guarde prints, protocolos e datas.

Quem tem pouco tempo faz os passos 1 e 2 hoje. Eles fecham o caminho mais curto de quem tem uma senha sua.

O golpe que vem depois do vazamento

A ligação começa com o seu nome completo. A pessoa do outro lado confirma o seu CPF, cita o seu endereço e diz o banco em que você tem conta. Depois avisa que houve uma compra suspeita e pede para você confirmar um código ou instalar um aplicativo de "proteção".

Esse golpe se apoia num atalho mental: quem sabe tantos detalhes parece ser o banco. Com dados vazados em circulação, saber o seu CPF prova apenas que a pessoa teve acesso a uma base.

A defesa é um hábito: quem liga para você não recebe código, senha nem instalação de aplicativo. Desligue e ligue de volta pelo número que está no cartão ou no aplicativo oficial. O mesmo vale para e-mail e mensagem que citam os seus dados pessoais para ganhar credibilidade, o padrão clássico de engenharia social.

Avise também os mais velhos da família: a regra "banco não liga pedindo código" é fácil de lembrar e de repetir.

Quando a empresa é a origem dos dados vazados

A LGPD trata o vazamento como incidente de segurança, e a ANPD regulamentou a comunicação na Resolução CD/ANPD nº 15, de 24 de abril de 2024. Segundo a página da ANPD sobre comunicação de incidente, quando o incidente pode acarretar risco ou dano relevante aos titulares, o controlador comunica a ANPD e os titulares em até três dias úteis.

A comunicação ao titular tem conteúdo mínimo definido:

• a natureza e a categoria dos dados afetados
• as medidas de segurança usadas para proteger os dados
• os riscos e os possíveis impactos aos titulares
• as medidas adotadas para reverter ou mitigar os efeitos
• a data em que o controlador soube do incidente
• um contato para informações e, quando houver, o do encarregado

O texto precisa usar linguagem simples e ser direto e individualizado sempre que possível. Quem recebe pode usar essa lista para conferir o aviso. Comunicado que não diz quais dados saíram está incompleto.

Se você foi afetado e a empresa não comunicou nada, a ANPD tem um canal de denúncia para o titular. O formulário de comunicação de incidente é exclusivo do controlador.

Para o dono de PME: os seus dados vazados e os dos clientes

O dono de pequena empresa vive os dois lados. O e-mail corporativo dele aparece em vazamento de serviço de terceiro, e a base de clientes dele pode virar o próximo incidente.

Do lado de quem sofre, o roteiro é o mesmo da pessoa física, aplicado às contas da empresa. Comece pelo e-mail do administrador e pelas contas de banco, domínio e nota fiscal. O Have I Been Pwned também oferece monitoramento de domínio, o que permite acompanhar todos os endereços corporativos de uma vez.

Do lado de quem guarda dados, a pergunta é se a empresa sabe cumprir o prazo de três dias úteis. Isso exige saber quem é o controlador, quem fala com a ANPD e onde estão os contatos dos clientes. O guia de LGPD para PMEs cobre esse mapa.

Um roteiro possível de incidente em empresa pequena começa com credencial reaproveitada. A senha do funcionário aparece entre dados vazados de um serviço pessoal, ele usa a mesma no e-mail da empresa, e o atacante entra sem explorar falha nenhuma.

O que fica

Nenhuma ação sua apaga as cópias da base de 2021. O que muda o resultado está no seu lado: senha única por serviço, segundo fator fora do SMS, revisão periódica no Registrato e a regra de não passar código a quem liga.

O caso dos 223 milhões de CPFs completou cinco anos em janeiro de 2026, e os dados vazados naquela base incluíam endereço, telefone e score de crédito, o mesmo material que um golpista cita ao telefone.