# O megavazamento de 223 milhões de CPFs em 2021: o que se soube e o que ficou sem resposta — Citeo > Em janeiro de 2021 veio a público uma base com cerca de 223 milhões de CPFs e dezenas de categorias de dados pessoais à venda na internet. A Polícia Federa... Fonte: https://mail.citeo.com.br/artigo/2021-megavazamento-223-milhoes-de-cpfs · Atualizado em 21/10/2026 [Início](https://mail.citeo.com.br) [Insights](https://mail.citeo.com.br/blog) [Segurança](https://mail.citeo.com.br/blog/seguranca) Retrospectiva 2021 · Segurança# O megavazamento de 223 milhões de CPFs em 2021: o que se soube e o que ficou sem resposta **Redação Citeo** Publicado em 31/12/2021 Revisado em 17/10/2026 **Período analisado: 2021** 3 min de leitura Resposta rápidaEm janeiro de 2021 veio a público uma base com cerca de 223 milhões de CPFs e dezenas de categorias de dados pessoais à venda na internet. A Polícia Federal prendeu um suspeito em março, mas a origem dos dados não foi confirmada publicamente. O megavazamento de 2021 foi a exposição de uma base com cerca de 223 milhões de CPFs, revelada pelo Tecnoblog em janeiro daquele ano. Uma parte gratuita trazia nome, data de nascimento e sexo; uma parte paga acrescentava 37 categorias de dados, como RG, estado civil, lista de parentes, escolaridade, poder aquisitivo e situação no INSS. A Polícia Federal prendeu um suspeito em março de 2021, mas, um ano depois, a origem dos dados ainda não havia sido confirmada publicamente. ## Como o vazamento foi descoberto? O caso foi exposto com exclusividade pelo Tecnoblog em janeiro de 2021. O número de registros superava a população brasileira, o que indicava que a base poderia incluir pessoas vivas e falecidas. Os dados pagos eram vendidos por valores entre US$ 0,075 e US$ 1 por CPF, com pagamento apenas em bitcoin. Em março, uma reportagem da Folha de S.Paulo, repercutida pelo blog de segurança da ESET, apontou que uma base com informações de 223 milhões de brasileiros estava à venda em um fórum da dark web por R$ 95 mil (0,3 bitcoin), com amostra gratuita de 10 milhões de registros. Especialistas ouvidos pela Folha avaliaram que os dados podiam ter sido reunidos de várias fontes ao longo de meses ou anos. ## O que as autoridades fizeram? A resposta envolveu polícia, Judiciário e a recém-estruturada ANPD. DataFatoJaneiro de 2021Tecnoblog revela a base com 223 milhões de CPFs28 de janeiro de 2021OAB cobra investigação mais rápida1º de fevereiro de 2021Presidente do STF, Luiz Fux, classifica a situação como "gravíssima"19 de março de 2021PF deflagra a Operação Deepwater e prende suspeito em Uberlândia (MG)Fim de outubro de 2021ANPD aprova seu regulamento de fiscalização Na Operação Deepwater, a Polícia Federal cumpriu cinco mandados de busca e um de prisão preventiva em Petrolina (PE) e Uberlândia (MG). Um segundo hacker, conhecido como "JustBR", também passou a ser investigado. O ministro Alexandre de Moraes determinou a abertura de inquérito sobre a exposição de dados de integrantes do STF. A ANPD informou que investigava o caso e que cooperaria com outros órgãos, mas suas apurações sobre incidentes são sigilosas. ## Qual foi a origem dos dados? Essa é a principal pergunta que ficou sem resposta. O vendedor anunciava parte dos dados sob o título "Serasa Experian". A Serasa afirmou que sua investigação interna não encontrou evidências de invasão de seus sistemas nem de que fosse a origem. A base também foi atribuída por vendedores ao Poupatempo, programa do governo paulista, que negou qualquer incidente. Um ano após a revelação, o Tecnoblog listou as questões em aberto: - a fonte real dos dados não havia sido confirmada; - o andamento da investigação da ANPD não era público; - a PF não comentava o progresso do caso; - a situação da investigação sobre "JustBR" era incerta; - os dados continuavam sendo vendidos na web aberta e na deep web. ## Por que o caso importou para empresas? O megavazamento mostrou que dados pessoais de quase toda a população já circulavam em mercados ilegais. Isso tem duas consequências práticas para empresas. A primeira é o aumento do risco de fraudes de identidade e de engenharia social contra clientes e funcionários, já que criminosos dispõem de dados reais para se passar por outras pessoas. A segunda é que informações como CPF e data de nascimento deixaram de ser bons fatores de autenticação. ## O que isso significa hoje para quem contrata? Ao contratar sistemas que tratam dados pessoais, vale exigir que o fornecedor minimize o que é coletado, controle quem acessa as bases, registre acessos e não use dados cadastrais simples como prova de identidade. Também vale perguntar como ele detectaria e comunicaria um incidente. Empresas de segurança podem ser comparadas na categoria de [cibersegurança](/empresas/cyber). ## Fontes - [Tecnoblog: Megavazamento de 223 milhões de CPFs, um ano se passou e ainda há perguntas sem resposta](https://tecnoblog.net/especiais/megavazamento-de-223-milhoes-de-cpfs-um-ano-se-passou-e-ainda-ha-perguntas-sem-resposta/) - [WeLiveSecurity (ESET): base com informações de 223 milhões de brasileiros é vendida por R$ 95 mil](https://www.welivesecurity.com/br/2021/03/16/base-com-informacoes-de-223-milhoes-de-brasileiros-e-vendida-por-r-95-mil/) - [Tecnoblog: Polícia Federal investiga vazamento de 223 milhões de CPFs](https://tecnoblog.net/408646/policia-federal-investiga-vazamento-de-223-milhoes-de-cpfs/) **Encontre cybersegurança verificadas**Compare nota, avaliações verificadas e score, e fale direto com a empresa pela Citeo. [Ver empresas ](https://mail.citeo.com.br/empresas/cyber) [Comparar empresas lado a lado](https://mail.citeo.com.br/comparar) ## Perguntas frequentes ### Quantos CPFs foram expostos no megavazamento de 2021? Cerca de 223 milhões, número superior à população do país, o que sugere a inclusão de pessoas falecidas. A base gratuita tinha nome, data de nascimento e sexo, e a paga somava 37 categorias de dados. ### Alguém foi preso pelo megavazamento? Sim. Em 19 de março de 2021, a Polícia Federal deflagrou a Operação Deepwater e prendeu um suspeito em Uberlândia (MG). Um segundo hacker também passou a ser investigado. ### A origem do vazamento foi identificada? Não publicamente. O vendedor associava parte da base à Serasa Experian, que negou ter sido a origem. Um ano depois, a fonte real seguia sem confirmação pública. ## Leia também [](https://mail.citeo.com.br/artigo/backup-3-2-1-e-recuperacao-de-desastres) Segurança### [Backup 3-2-1 e recuperação de desastres: o mínimo que toda empresa precisa](https://mail.citeo.com.br/artigo/backup-3-2-1-e-recuperacao-de-desastres) 18 de out · 5 min de leitura [](https://mail.citeo.com.br/artigo/bug-bounty-vale-a-pena) Segurança### [Programa de bug bounty vale a pena? Quando faz sentido e como começar](https://mail.citeo.com.br/artigo/bug-bounty-vale-a-pena) 18 de out · 5 min de leitura [](https://mail.citeo.com.br/artigo/comunicacao-de-incidente-a-anpd) Segurança### [Comunicação de incidente de segurança à ANPD: prazos e o que informar](https://mail.citeo.com.br/artigo/comunicacao-de-incidente-a-anpd) 18 de out · 6 min de leitura [](https://mail.citeo.com.br/artigo/incidentes-de-seguranca-no-brasil-dados) Segurança### [Incidentes de segurança no Brasil: o que mostram os dados públicos](https://mail.citeo.com.br/artigo/incidentes-de-seguranca-no-brasil-dados) 18 de out · 6 min de leitura