Em janeiro de 2021 veio a público uma base com cerca de 223 milhões de CPFs e dezenas de categorias de dados pessoais à venda na internet. A Polícia Federal prendeu um suspeito em março, mas a origem dos dados não foi confirmada publicamente.
O megavazamento de 2021 foi a exposição de uma base com cerca de 223 milhões de CPFs, revelada pelo Tecnoblog em janeiro daquele ano. Uma parte gratuita trazia nome, data de nascimento e sexo; uma parte paga acrescentava 37 categorias de dados, como RG, estado civil, lista de parentes, escolaridade, poder aquisitivo e situação no INSS. A Polícia Federal prendeu um suspeito em março de 2021, mas, um ano depois, a origem dos dados ainda não havia sido confirmada publicamente.
Como o vazamento foi descoberto?
O caso foi exposto com exclusividade pelo Tecnoblog em janeiro de 2021. O número de registros superava a população brasileira, o que indicava que a base poderia incluir pessoas vivas e falecidas. Os dados pagos eram vendidos por valores entre US$ 0,075 e US$ 1 por CPF, com pagamento apenas em bitcoin.
Em março, uma reportagem da Folha de S.Paulo, repercutida pelo blog de segurança da ESET, apontou que uma base com informações de 223 milhões de brasileiros estava à venda em um fórum da dark web por R$ 95 mil (0,3 bitcoin), com amostra gratuita de 10 milhões de registros. Especialistas ouvidos pela Folha avaliaram que os dados podiam ter sido reunidos de várias fontes ao longo de meses ou anos.
O que as autoridades fizeram?
A resposta envolveu polícia, Judiciário e a recém-estruturada ANPD.
| Data | Fato |
|---|---|
| Janeiro de 2021 | Tecnoblog revela a base com 223 milhões de CPFs |
| 28 de janeiro de 2021 | OAB cobra investigação mais rápida |
| 1º de fevereiro de 2021 | Presidente do STF, Luiz Fux, classifica a situação como "gravíssima" |
| 19 de março de 2021 | PF deflagra a Operação Deepwater e prende suspeito em Uberlândia (MG) |
| Fim de outubro de 2021 | ANPD aprova seu regulamento de fiscalização |
Na Operação Deepwater, a Polícia Federal cumpriu cinco mandados de busca e um de prisão preventiva em Petrolina (PE) e Uberlândia (MG). Um segundo hacker, conhecido como "JustBR", também passou a ser investigado. O ministro Alexandre de Moraes determinou a abertura de inquérito sobre a exposição de dados de integrantes do STF.
A ANPD informou que investigava o caso e que cooperaria com outros órgãos, mas suas apurações sobre incidentes são sigilosas.
Qual foi a origem dos dados?
Essa é a principal pergunta que ficou sem resposta. O vendedor anunciava parte dos dados sob o título "Serasa Experian". A Serasa afirmou que sua investigação interna não encontrou evidências de invasão de seus sistemas nem de que fosse a origem. A base também foi atribuída por vendedores ao Poupatempo, programa do governo paulista, que negou qualquer incidente.
Um ano após a revelação, o Tecnoblog listou as questões em aberto:
- a fonte real dos dados não havia sido confirmada;
- o andamento da investigação da ANPD não era público;
- a PF não comentava o progresso do caso;
- a situação da investigação sobre "JustBR" era incerta;
- os dados continuavam sendo vendidos na web aberta e na deep web.
Por que o caso importou para empresas?
O megavazamento mostrou que dados pessoais de quase toda a população já circulavam em mercados ilegais. Isso tem duas consequências práticas para empresas. A primeira é o aumento do risco de fraudes de identidade e de engenharia social contra clientes e funcionários, já que criminosos dispõem de dados reais para se passar por outras pessoas. A segunda é que informações como CPF e data de nascimento deixaram de ser bons fatores de autenticação.
O que isso significa hoje para quem contrata?
Ao contratar sistemas que tratam dados pessoais, vale exigir que o fornecedor minimize o que é coletado, controle quem acessa as bases, registre acessos e não use dados cadastrais simples como prova de identidade. Também vale perguntar como ele detectaria e comunicaria um incidente. Empresas de segurança podem ser comparadas na categoria de cibersegurança.
Fontes
Compare nota, avaliações verificadas e score, e fale direto com a empresa pela Citeo.
Perguntas frequentes
Quantos CPFs foram expostos no megavazamento de 2021?
Cerca de 223 milhões, número superior à população do país, o que sugere a inclusão de pessoas falecidas. A base gratuita tinha nome, data de nascimento e sexo, e a paga somava 37 categorias de dados.
Alguém foi preso pelo megavazamento?
Sim. Em 19 de março de 2021, a Polícia Federal deflagrou a Operação Deepwater e prendeu um suspeito em Uberlândia (MG). Um segundo hacker também passou a ser investigado.
A origem do vazamento foi identificada?
Não publicamente. O vendedor associava parte da base à Serasa Experian, que negou ter sido a origem. Um ano depois, a fonte real seguia sem confirmação pública.