Vazamento expõe 248 mi de CPFs: como se proteger

Um novo episódio acende o sinal vermelho para quem depende de crédito no Brasil: um banco de dados com informações pessoais de cerca de 248 milhões de brasileiros teria sido colocado à venda em um fórum usado por criminosos digitais. O volume é gigantesco — equivale, na prática, a quase toda a população do país, incluindo aposentados, pensionistas, trabalhadores CLT e beneficiários de programas sociais. E o efeito colateral mais perigoso desse tipo de vazamento não está apenas na privacidade: está no bolso.

Quando CPF, nome completo, data de nascimento, endereço, telefone e até dados de renda circulam em ambientes criminosos, os golpes que usam empréstimo consignado, saque do FGTS e benefícios do INSS como isca ficam muito mais convincentes. O criminoso liga sabendo o número exato do benefício, a agência, o valor aproximado da margem — e a vítima, sem desconfiar, entrega o que falta para a fraude se concretizar.

Neste guia, você vai entender o que se sabe até agora sobre o vazamento, por que esse tipo de incidente alimenta diretamente as fraudes financeiras, quais são os golpes mais comuns que estão circulando, como descobrir se seus dados foram expostos e, principalmente, o passo a passo prático para proteger seu CPF, seu benefício e seu crédito a partir de hoje.

O que se sabe sobre o vazamento de dados de 248 milhões de brasileiros

O incidente teria envolvido a oferta, em um fórum frequentado por cibercriminosos, de um pacote com dados pessoais de aproximadamente 248 milhões de pessoas no Brasil. Para se ter ideia da escala, o número supera a população oficial estimada do país, o que indica que o banco pode incluir registros duplicados, dados históricos e até pessoas já falecidas — algo comum em vazamentos formados a partir de várias fontes combinadas.

As informações expostas costumam incluir, em vazamentos desse porte, CPF, nome completo, data de nascimento, nome da mãe, endereço, telefone, e-mail e, em muitos casos, dados financeiros como faixa de renda, score de crédito, vínculo empregatício e até número de benefício do INSS.

A origem exata do vazamento ainda não foi oficialmente confirmada. Em geral, megavazamentos como esse não vêm de um único ataque, mas da consolidação de várias bases — incluindo cadastros de empresas privadas, bureaus de crédito e, em alguns casos, sistemas públicos.

O ponto que o cidadão precisa entender é direto: independentemente de onde os dados saíram, eles agora estão em circulação. E quem trabalha com fraude vai usá-los. A pergunta deixa de ser "meus dados estão expostos?" e passa a ser "como reduzir o estrago?".

Por que vazamentos de dados turbinam golpes de crédito e consignado

O golpe financeiro depende de uma coisa antes de tudo: confiança. Quando um criminoso liga dizendo apenas "oi, é do banco", a maioria das pessoas desconfia. Mas quando ele liga dizendo "falo com o senhor João da Silva, CPF tal, beneficiário número tal do INSS, com aposentadoria de aproximadamente R$ X, certo?", a percepção muda completamente. A vítima sente que está falando com alguém que realmente tem acesso ao sistema — e é exatamente esse o objetivo.

Vazamentos massivos como esse fornecem aos fraudadores justamente esse "pacote inicial" de credibilidade. Com nome, CPF, benefício e telefone em mãos, eles montam abordagens personalizadas que driblam o instinto natural de desconfiança. A partir daí, qualquer pedido — confirmar uma senha, instalar um aplicativo, clicar em um link, fornecer um código de SMS — passa a parecer parte de um atendimento legítimo.

O empréstimo consignado é alvo preferencial por dois motivos. Primeiro, porque o desconto vai direto na folha do benefício ou do salário, dificultando o cancelamento depois que cai. Segundo, porque envolve assinatura digital e biometria — e existem golpes inteiros desenhados para capturar exatamente esses elementos. O FGTS e o saque-aniversário entram na mesma lógica: prometem dinheiro rápido, exigem dados sensíveis e movimentam altos valores.

Golpes mais comuns que usam dados vazados

Com base no perfil do público mais visado — aposentados, pensionistas, trabalhadores CLT e beneficiários do BPC/LOAS — alguns golpes se repetem com mais frequência. Conhecê-los é a primeira camada de proteção.

Golpe do "recálculo" ou "liberação" de consignado. O criminoso liga afirmando que o aposentado tem direito a um valor extra, a um "recálculo" ou a uma "liberação especial" do consignado. Ele cita o número do benefício e o valor da margem para parecer oficial. Na sequência, pede para a vítima instalar um aplicativo (na verdade, um programa de acesso remoto) ou informar um código de SMS. É importante reforçar: o INSS não liga oferecendo empréstimo, e o limite real do consignado INSS hoje é de 40% do benefício, sendo 5% reservados para cartão, conforme regras vigentes. Qualquer oferta acima disso é fraude.

Golpe do falso atendente do banco. Aqui o fraudador se passa por funcionário do banco onde o benefício é pago. Usa os dados vazados para confirmar identidade da vítima e alega que houve uma "tentativa de empréstimo suspeita". Para "cancelar", pede senha, token ou que a pessoa faça uma transferência "de segurança". Banco nenhum pede senha por telefone — essa é uma regra sem exceção.

Golpe do saque do FGTS por link. Mensagens por SMS ou WhatsApp informam que há um valor "liberado" no FGTS e oferecem um link para saque imediato. O link instala um aplicativo malicioso ou leva a uma página falsa que captura senha do Gov.br, do banco ou da Caixa. O FGTS verdadeiro só é movimentado pelo aplicativo oficial da Caixa ou nas agências.

Golpe do consignado para quem recebe BPC/LOAS. Existe muita desinformação sobre esse benefício, e os criminosos exploram isso. Vale esclarecer: o BPC/LOAS é um benefício assistencial pago pelo INSS e, por lei, pode ser usado para empréstimo consignado — não há proibição legal. O que ocorre atualmente é que, devido ao aumento de cessações e revisões desse tipo de benefício, as instituições autorizadas reduziram a oferta na prática. Portanto: é permitido por lei, mas a disponibilidade está restrita. Quem prometer contratação certa para BPC com facilidade está, muito provavelmente, aplicando um golpe.

Golpe da "portabilidade" e do "troca por outro mais barato". O criminoso afirma conseguir transferir o consignado da vítima para outro banco com taxa menor. Pede dados, senha e código. No final, contrata um novo empréstimo em nome da vítima — sem quitar o anterior. Resultado: dois empréstimos na folha.

Falsos sites de simulação. Páginas que imitam bancos, INSS e Caixa, com domínios parecidos, pedem CPF, senha e até selfie. Tudo é capturado.

Como descobrir se seus dados foram expostos no vazamento

Não existe um carimbo oficial dizendo "seu CPF está no pacote". Mas há sinais práticos e ferramentas que ajudam a estimar o risco.

O primeiro passo é prestar atenção ao aumento de contatos suspeitos. Se você passou a receber, do nada, mais ligações oferecendo consignado, SMS de "liberação" de valores e e-mails estranhos com seu nome completo, esse é um indicativo forte de que seus dados estão circulando.

O segundo passo é consultar o Registrato, sistema gratuito do Banco Central que mostra todos os relacionamentos financeiros vinculados ao seu CPF: contas bancárias, empréstimos, financiamentos e câmbio. Se aparecer algum contrato que você não reconhece, é hora de agir imediatamente. O acesso é feito com a conta Gov.br nível prata ou ouro, conforme o Banco Central.

O terceiro passo é consultar o Meu INSS, aplicativo oficial do INSS, para verificar se há algum empréstimo consignado contratado em seu benefício sem o seu conhecimento. A consulta lista cada contrato ativo, com nome do banco e valor da parcela.

O quarto passo é olhar o histórico do Gov.br: verifique se houve acessos em horários estranhos ou dispositivos desconhecidos. Se sim, troque a senha imediatamente e ative a verificação em duas etapas.

O quinto passo é consultar gratuitamente seu CPF nos bureaus de crédito (Serasa, SPC e Boa Vista) para checar se há consultas recentes feitas por bancos com os quais você não tem relacionamento — isso indica tentativas de contratação em seu nome.

Passos práticos para proteger seu CPF, seu benefício e seu crédito agora

Mais importante do que descobrir se seus dados vazaram é agir como se já tivessem vazado. Esta é a postura realista a partir de agora.

1. Bloqueie empréstimos no seu benefício do INSS. Aposentados e pensionistas podem solicitar o "bloqueio para empréstimo consignado" diretamente pelo Meu INSS ou pelo telefone 135. Com o bloqueio ativo, nenhum banco consegue contratar consignado em seu CPF até que você mesmo desbloqueie. Para quem não pretende pegar empréstimo, é a medida mais eficiente que existe.

2. Ative a notificação de movimentações no seu banco. Todo banco oferece avisos por aplicativo e SMS para qualquer movimentação, contratação ou consulta. Ative todos. Quanto antes você souber de uma tentativa, mais fácil cancelar.

3. Reforce a segurança do Gov.br. A conta Gov.br virou a chave do cidadão para INSS, FGTS, Receita Federal e outros serviços. Use senha forte (única, não reaproveitada de outros sites), ative a verificação em duas etapas e nunca informe o código recebido por SMS a ninguém — nem para "atendentes".

4. Desconfie de QUALQUER oferta de crédito que chegar até você sem ter sido solicitada. Banco sério não liga oferecendo consignado, não manda link por WhatsApp e não pede para você instalar aplicativo durante a ligação. Se a oferta veio até você, redobre a desconfiança — esse é o padrão dos golpes.

5. Nunca informe senha, código de SMS, foto de documento ou selfie por telefone, WhatsApp ou link recebido. Bancos e o INSS jamais pedem isso. A regra é simples: se pediram, é golpe.

6. Cuidado redobrado com aplicativos sugeridos por terceiros. Há golpes que pedem para a vítima instalar "o aplicativo do banco" ou "do INSS" a partir de um link enviado pelo criminoso. Esses links instalam programas de acesso remoto que entregam o celular ao fraudador. Baixe aplicativos somente pelas lojas oficiais (Play Store e App Store) e sempre conferindo o desenvolvedor.

7. Conheça os limites legais do consignado para não cair em ofertas mirabolantes. No consignado INSS, o prazo máximo é de 108 meses e a margem total é de 40% do benefício, sendo 5% reservados ao cartão consignado/benefício. No consignado CLT (trabalhador com carteira assinada), o prazo máximo é de 96 meses e a margem é de 35%, destinada integralmente ao empréstimo. Qualquer proposta que prometa prazo maior, margem maior ou "liberação especial" foge da regulamentação e indica fraude.

8. Mantenha o sistema do celular atualizado e instale um antivírus confiável. Boa parte dos golpes hoje passa por aplicativos maliciosos. Atualizações de segurança e um antivírus reduzem bastante o risco.

O que fazer se você já caiu em um golpe ou identificou contrato indevido

Se você identificou um empréstimo que não reconhece ou suspeita de fraude, o tempo é o fator mais importante. Quanto mais rápido a resposta, maior a chance de reverter.

Primeiro passo: entre em contato com o banco que aparece como contratante e formalize a contestação. Peça protocolo. Informe que se trata de fraude e exija o cancelamento e o estorno dos valores. Bancos são obrigados a investigar contestações de fraude — o número do protocolo é a sua prova.

Segundo passo: registre boletim de ocorrência. Pode ser feito presencialmente ou pelas delegacias eletrônicas, disponíveis na maior parte dos estados. O B.O. é a base para qualquer ação posterior.

Terceiro passo: abra reclamação no Banco Central pelo sistema "Fale Conosco" / RDR e na plataforma consumidor.gov.br. Para benefícios do INSS, registre também ocorrência no Meu INSS, na opção de contestação de empréstimo consignado.

Quarto passo: acione a ANPD (Autoridade Nacional de Proteção de Dados). A Lei Geral de Proteção de Dados (LGPD) garante ao cidadão o direito de saber como seus dados são tratados, de exigir correção e de ser informado sobre incidentes de segurança.

Quinto passo: procure o Procon do seu estado e, se necessário, a Defensoria Pública ou um advogado. A jurisprudência brasileira reconhece a responsabilidade do banco em casos de fraude por dados vazados, e há decisões determinando devolução de valores e indenização por danos morais.

Não pague "taxas" para resolver o problema. Outro golpe comum, depois do primeiro, é o criminoso voltar a contatar a vítima oferecendo "ajuda para recuperar o dinheiro" mediante pagamento adiantado. É fraude em cima de fraude.

Direitos do cidadão pela LGPD e o papel da ANPD

A Lei Geral de Proteção de Dados (Lei nº 13.709/2018) estabelece que empresas e órgãos que tratam dados pessoais são responsáveis por protegê-los e por comunicar incidentes de segurança quando eles ocorrem. Em vazamentos de grande porte, a ANPD pode investigar, exigir esclarecimentos e aplicar sanções — que vão desde advertência até multa de até 2% do faturamento da empresa, limitada a R$ 50 milhões por infração, conforme a própria LGPD.

O cidadão tem direito de:

saber se uma empresa trata seus dados e quais dados ela trata;
exigir correção de dados incorretos;
pedir a exclusão de dados tratados sem base legal;
ser informado sobre incidentes de segurança que possam gerar risco relevante.

Na prática, isso significa que, ao identificar que uma empresa específica vazou seus dados, o cidadão pode formalizar reclamação e exigir reparação. Enquanto não há posicionamento oficial da ANPD sobre este caso específico, o melhor escudo continua sendo o do próprio cidadão: bloquear consignado no INSS, monitorar contratos no Registrato, manter o Gov.br protegido e tratar toda oferta não solicitada como suspeita até prova em contrário.

Resumo prático: o que fazer hoje, esta semana e sempre

Hoje: bloqueie empréstimo consignado no Meu INSS (se for aposentado ou pensionista), troque a senha do Gov.br e ative verificação em duas etapas, e ative notificações de movimentação no seu banco.

Esta semana: consulte o Registrato no Banco Central, confira contratos ativos no Meu INSS, verifique consultas recentes ao seu CPF nos bureaus de crédito.

Sempre: desconfie de oferta não solicitada, nunca informe código de SMS, nunca instale aplicativo a pedido de quem ligou e lembre dos limites legais — 40% de margem e 108 meses no INSS, 35% e 96 meses no CLT, com regras específicas para cartão consignado.

O vazamento de 248 milhões de registros é grave, mas não é o fim da história. Quem age rápido, conhece as regras e adota uma postura defensiva no dia a dia reduz drasticamente o risco de ter o nome usado em fraudes de crédito e consignado. Proteger o CPF, hoje, é tão importante quanto proteger a carteira.

Referências

Informação sobre o pacote de dados de cerca de 248 milhões de brasileiros ofertado em fórum criminoso: apuração inicial veiculada na imprensa especializada em crédito (fonte primária ainda em confirmação).
Lei Geral de Proteção de Dados (Lei nº 13.709/2018) e atribuições da Autoridade Nacional de Proteção de Dados (ANPD): https://www.gov.br/anpd/pt-br