De acordo com o dfndr lab, laboratório especializado em segurança digital da startup PSafe, 223 milhões de pessoas tiveram CPF e outros dados vazados em todo o Brasil. Os dados estão nas mãos de criminosos digitais e estão sendo colocados à venda.
Segundo a empresa que detectou o ocorrido, são dois vazamentos simultâneos que podem colocar a esmagadora quantidade de pessoas do país em risco. A alta quantidade, superior a população brasileira, indica que há informações até de quem já faleceu. Este pode ser um dos maiores vazamentos da História do país.
Vazamento 1: CPF
Um pacote contendo o CPF de quase todos os brasileiros foi obtido e está sendo vendido por meio de um arquivo de 14 GB. Além do número do documento, consta o gênero, a data de nascimento das pessoas e veículos automotores cadastrados no país.
A divulgação foi tão grande que é possível encontrar links na internet para fazer o download do arquivo contendo todos os dados relativos ao documento. Só há dados até o ano de 2019, ou seja, quem nasceu em 2020 não foi prejudicado.
No caso dos veículos, há uma tabela de 23 GB que associa o dono ao carro. No entanto, os dados só vão até 2007.
Vazamento 2: CPF e outros dados
O segundo vazamento é ainda mais nocivo, pois contém o CPF de 223 milhões pessoas e outros dados como escolaridade, renda, score de crédito (avaliação se uma pessoa é boa pagadora), benefícios do INSS e programas sociais como o Bolsa Família que recentemente liberou seu calendário completo.
Neste caso, a distribuição está limitada, não sendo possível achar os dados com facilidade na internet. Além disso, os criminosos estão vendendo o vazamento por partes, sendo preciso obter vários pacotes para conseguir a íntegra dos dados.
Um arquivo de exemplo, para provar que as informações roubadas são verdadeiras, foi divulgado contendo os dados de pelo menos mil pessoas.
Lista do que vazou
Confira abaixo tudo o que vazou, ressaltando que nem todas as pessoas tiveram todos os dados obtidos:
- Nome completo;
- RG;
- CPF;
- Título de eleitor;
- INSS (dados gerais);
- IRPF (imposto de renda);
- Gênero;
- Data de nascimento;
- Nome do pai e da mãe;
- Estado civil;
- Vínculo familiar;
- E-mail;
- Telefone (com plano, tipo de linha e operadora);
- Endereço completo;
- Detalhes sobre o domicílio (quantidade de pessoas, faixa de renda);
- Escolaridade;
- Estudantes universitários (faculdade, curso e outros detalhes);
- Ocupação e emprego;
- Número do PIS, CTPS e mais detalhes do trabalhador;
- Salários e renda;
- Classe social;
- Poder aquisitivo;
- Ocupação e emprego;
- Bolsa Família (valor, situação do benefício, entre outros);
- NIS (Número de Identificação Social);
- FGTS;
- CNS (Cartão Nacional de Saúde);
- Outros dados da Receita Federal;
- Score de crédito;
- Lista de devedores (nomes, tipo de dívida, valores, etc.);
- Cheques sem fundos;
- Mosaic (grupo e subgrupo de segmentação);
- Afinidade (nível de precisão, percentil);
- Modelo analítico de afinidade;
- Fotos com o CPF correspondente;
- LinkedIn (perfis);
- Dados de empresas (razão social, sócios, entre outros);
- Dados de servidores públicos;
- Dados de conselhos;
- Dados de óbitos.
Fonte primária não foi divulgada
Os criminosos não divulgaram qual foi a fonte primária dos vazamentos que proporcionaram os pacotes que estão sendo vendidos. Geralmente, para dar credibilidade aos dados, é informado de onde eles foram retirados. Desta vez, não ocorreu.
É provável que não haja uma fonte única de dados, afinal, ao longo dos anos diversos vazamentos, pequenos e grandes, ocorreram no setor público e privado. Somente em 2019 foi aprovada a Lei Geral de Proteção de Dados (LGPD) que pune empresas que deixaram dados vazarem.
Ao mesmo tempo, o governo federal ainda não colocou em funcionamento a Agência Nacional de Proteção de Dados (ANPD), que seria responsável por fiscalizar a obtenção de dados pessoais e possíveis vazamentos.
Pacotes organizaram informações de locais públicos e privados
Além de obter dados de forma irregular, aparentemente, os criminosos conseguiram informações por meio de fontes oficiais do governo e de sistemas privados. Uma parte do pacote se trata de uma grande organização destes dados, atribuindo detalhes de cada pessoa.
Dados como salários podem ser obtidos no portal da transparência de qualquer órgão. Empresas de marketing e crédito costumam utilizar dados do governo para vender. Ao mesmo tempo, criminosos que cometem fraudes podem se aproveitar da situação.
Fotos e informações como graduação podem ser obtidas em sites como o LinkedIn ou outras redes sociais. Até mesmo o score de crédito é fácil de ser conseguido, bastando ter o CPF da pessoa.
O que se sabe e o que falta saber
O número de CPFs vazados (223 milhões) supera a população brasileira (estimada em 212 milhões). Então é provável que pelo menos dados básicos de cada cidadão estejam disponíveis.
Não é possível afirmar que todas as informações sejam verdadeiras, mas muitas delas estão corretas, segundo Altieres Rohr, especialista em segurança digital que mantém um blog no G1, e que teve acesso aos arquivos que foram disponibilizados publicamente.
As pessoas não têm como saber se alguma informação específica a seu respeito consta em um dos vazamentos.
De onde são esses dados?
Ainda não se sabe de onde esses dados foram roubados. É possível que o pacote tenha sido consolidado a partir de diversas fontes, incluindo outros vazamentos anteriores.
Algumas das informações que constam no vazamento fazem referência a empresas ou serviços, mas não é possível afirmar se esses dados realmente foram retirados das companhias mencionadas.
Ao longo dos anos, diversas informações pessoais de brasileiros vazaram, partindo inclusive de órgão do governo.
Quem vazou?
Os dados foram publicados por um criminoso em um fórum on-line dedicado a comercialização de bases de dados. O mesmo indivíduo ofertou a lista de CPFs gratuitamente é o que vende as outras informações.
Como se deu o vazamento?
Como ainda não se sabe a origem exata dos dados, não há informações de como esse vazamento aconteceu.
É possível que o pacote tenha sido consolidado a partir de diversas fontes: o criminoso reuniu dados de vários vazamentos para vendê-los numa lista única.
Que prejuízos podem acontecer para quem tiver um dado vazado?
:strip_icc()/i.s3.glbimg.com/v1/AUTH_59edd422c0c84a879bd37670ae4f538a/internal_photos/bs/2018/8/6/lS7cR1RRmhIFbeqczoVQ/dados-pessoais.jpg)
Criminosos podem usar dados pessoais para aplicar golpes dos mais variados tipos.
Munidos de uma série de dados pessoais, criminosos podem tentar se passar por alguém em interações com empresas ou praticar golpes como o saque indevido do FGTS (Fundo de Garantia do Tempo de Serviço).
Uma tática comum é enviar e-mails ou mensagens falsas para vítimas, em nome de empresas como bancos e tentar obter vantagens financeiras.
É possível, por exemplo, que criminosos enviem faturas falsificadas (como telefone, internet, IPVA, IPTU, entre outras) por e-mail. A vítima, identificando uma série de dados pessoais corretos, acredita que aquele débito é real e faz o pagamento.
O vazamento está sendo investigado? A quem cabe isso?
A Lei Geral de Proteção de Dados ( LGPD ), que entrou em vigor em 2019, definiu um órgão responsável pela investigação em caso de vazamentos: Autoridade Nacional de Proteção de Dados (ANPD).
A autoridade, porém, ainda não está funcionando de fato. O órgão está constituído, mas ainda não publicou nenhuma das regulamentações previstas em lei.
O G1 procurou a ANPD e perguntou quais medidas estão sendo tomadas, mas até a última atualização dessa reportagem não obteve respostas.
Órgãos de defesa do consumidor, como o Procon-SP e a Secretaria Nacional do Consumidor (Senacon), notificaram a empresa Serasa Experian e pediram explicações sobre origem dos dados. A Serasa nega que seja a fonte dos dados.
Existe proteção de dados no Brasil? Que punições podem acontecer por causa deste vazamento?
Existe a Lei Geral de Proteção de Dados ( LGPD ), que entrou em vigor em 2019, e tem como objetivo garantir mais segurança e transparência às informações pessoais coletadas por empresas públicas e privadas.
A lei prevê punições que vão desde advertência até uma multa de 2% do faturamento anual da empresa, limitada a R$ 50 milhões.
Esse dinheiro é destinado ao Fundo de Defesa de Direitos Difusos (FDD), que financia projetos que tenham como objetivo reparação de danos ao consumidor, meio ambiente, patrimônio e outros.
De qualquer forma, a agência não poderia aplicar multas antes de agosto de 2021, por decisão do Congresso.
Como proteger meus dados de vazamentos?
Neste caso específico, não havia nada que um cidadão pudesse fazer para proteger os seus dados.
A falta de qualquer regra ou limite para a guarda de dados no Brasil, aliada ao excesso de burocracia, sempre incentivou que empresas e órgãos do governo mantivessem todos os dados possíveis – inclusive os que não eram necessários.
Para realizar cadastros em muitos sites, serviços e até programas governamentais, é necessário fornecer informações que nos identifiquem.
A dica geral, no entanto, é ter cautela e cuidado ao incluir dados pessoais em páginas da internet que não são confiáveis – não é recomendável, por exemplo, fornecer seu CPF em uma página que divulga um suposto sorteio.
