Início Vazamentos de dados
Dados pessoaisVazamentos de dados: o que significam e o que fazer
Grandes vazamentos já expuseram dados da maior parte da população brasileira. O objetivo desta página é explicar o risco real de cada tipo de dado e as medidas que realmente protegem você.
Nunca procure seus dados em sites de vazamentoSites e grupos que oferecem “consulta” de dados vazados costumam ser golpes, instalar programas maliciosos ou coletar ainda mais informações sobre você. Use apenas as ferramentas indicadas abaixo.
Como verificar se você foi afetado
- Registrato (Banco Central): mostra gratuitamente as contas, chaves Pix e empréstimos registrados no seu CPF. Acesse com sua conta gov.br em registrato.bcb.gov.br. Qualquer item que você não reconheça é um sinal de uso indevido.
- Have I Been Pwned: serviço internacional e gratuito que informa se o seu e-mail apareceu em vazamentos conhecidos: haveibeenpwned.com.
- Comunicados das empresas: pela LGPD, a empresa que sofre um incidente com risco relevante deve avisar os titulares afetados. Confira se o aviso foi publicado no site oficial, e não apenas recebido por mensagem.
- Gerenciadores de senha e navegadores: muitos avisam automaticamente quando uma senha salva apareceu em vazamento.
O risco de cada tipo de dado
| Dado exposto | Como pode ser usado | O que fazer |
|---|---|---|
| Nome, CPF, data de nascimento, endereço | Golpistas usam esses dados para parecer confiáveis em ligações e mensagens, e para abrir contas ou pedir crédito em seu nome. | Nunca confie em alguém só porque sabe seus dados. Consulte o Registrato periodicamente para ver contas e empréstimos no seu CPF. |
| Telefone e e-mail | Aumento de SMS, ligações e e-mails falsos (phishing) direcionados a você, inclusive citando empresas das quais você é cliente. | Não clique em links recebidos. Acesse sempre o site ou app oficial digitando o endereço você mesmo. |
| E-mail e senha | Criminosos testam automaticamente a mesma combinação em bancos, redes sociais e lojas. | Troque a senha imediatamente em todos os serviços onde a reutilizava e ative a verificação em duas etapas. |
| Dados de cartão | Compras não reconhecidas, em geral pequenas no início para testar o cartão. | Peça ao banco o bloqueio e a troca do cartão. Use cartão virtual para compras on-line. |
| Foto de documento ou selfie | Abertura de contas digitais e tentativas de enganar sistemas de reconhecimento facial. | Registre boletim de ocorrência, acompanhe o Registrato e conteste qualquer conta aberta sem sua autorização. |
| Dados de saúde | Extorsão, discriminação e golpes que se passam por hospital, plano de saúde ou laboratório. | Confirme diretamente com a instituição qualquer cobrança ou pedido de dados. Você pode exigir informações da empresa com base na LGPD. |
Seus direitos pela LGPD
A Lei Geral de Proteção de Dados (Lei 13.709/2018) garante a você, entre outros direitos:
- saber se uma empresa trata seus dados e quais dados ela tem;
- pedir correção, anonimização ou eliminação de dados desnecessários;
- ser informado quando um incidente de segurança puder causar risco ou dano relevante a você;
- reclamar à Autoridade Nacional de Proteção de Dados (ANPD) se a empresa não responder.
Comece pelo canal do encarregado de dados (DPO) da empresa, que deve estar indicado na política de privacidade. Se não houver resposta, registre reclamação no consumidor.gov.br e na ANPD.
Casos de referência no Brasil
Incidentes amplamente noticiados que ajudam a entender a escala do problema. Para acompanhar alegações recentes, use o monitor de ataques.
| Quando | Caso | O que aconteceu |
|---|---|---|
| Jan. 2021 | Megavazamento de CPFs | Base com dados de mais de 220 milhões de CPFs, inclusive de pessoas falecidas, foi divulgada em fórum on-line. O caso foi investigado pela Polícia Federal e acompanhado pela ANPD. |
| Nov. 2020 | Superior Tribunal de Justiça (STJ) | Ataque de ransomware deixou os sistemas do tribunal indisponíveis por cerca de uma semana e levou à suspensão de prazos processuais. |
| Jun. 2021 | JBS | Ataque de ransomware interrompeu operações da empresa nos Estados Unidos, Canadá e Austrália. A companhia informou ter pago o equivalente a US$ 11 milhões. |
| Ago. 2021 | Lojas Renner | Ataque de ransomware deixou o site e sistemas internos da varejista fora do ar. |
| Dez. 2021 | Ministério da Saúde | Ataque reivindicado pelo grupo Lapsus$ tirou do ar o ConecteSUS e outros sistemas, afetando a emissão do certificado de vacinação. |
| Fev. 2022 | Americanas S.A. | Incidente de segurança deixou os sites de e-commerce Americanas e Submarino fora do ar por vários dias. |
| Jul. 2025 | C&M Software (sistema financeiro) | Criminosos usaram credenciais de um funcionário de prestadora de serviços para acessar a conexão de instituições financeiras com o Banco Central e desviar recursos de contas de reserva. Valores estimados na casa das centenas de milhões de reais. O dinheiro de clientes finais não foi afetado, segundo as instituições. |
| Recorrente | Incidentes com chaves Pix | O Banco Central publica comunicados quando instituições expõem dados cadastrais vinculados a chaves Pix. Nesses casos não há exposição de senhas, saldos ou movimentações, mas os dados podem ser usados em golpes. |