Mercado de dados: como CPFs, telefones e senhas são vendidos

Em 2021, houve o maior vazamento de dados pessoais na história do Brasil. Foram expostos 223 milhões de dados. Duas pessoas foram presas

Com o avanço da tecnologia os usuários precisam tomar cada vez mais cuidado com seus dados pessoais como Cadastro de Pessoa Física (CPF), telefones e senhas, pois eles são vendidos sem nem você saber. Os valores podem variar de alguns reais a centenas de reais, dependendo da quantidade informações.

Como os dados costumam parar nas mãos de criminosos?

Em entrevista ao iG, o advogado especializado em Direito Digital, Alex Terras, afirma que os dados pessoais chegam às mãos de criminosos por diferentes caminhos, mas quase sempre o ponto de partida é uma falha de segurança. Essa falha pode ocorrer por ataques hackers, exploração de vulnerabilidades em sistemas, configurações incorretas em ambientes de nuvem ou até mesmo por ações internas de colaboradores mal-intencionados.

"Boa parte dos incidentes começa com erros simples, como um funcionário que clica em um e-mail falso ou utiliza uma senha fraca. Após obter acesso, os criminosos extraem grandes volumes de informações. Hoje existe um verdadeiro ecossistema criminoso, onde grupos especializados apenas realizam a invasão e revendem essas informações para outros criminosos. Os dados pessoais se tornaram uma das principais moedas da economia do crime digital."

Ainda segundo Alex, após um vazamento, os dados passam por uma cadeia criminosa bastante estruturada.Inicialmente, as informações são organizadas, separadas por categoria, qualidade e nível de atualização. Em seguida, passam por processos de validação automatizada para verificar quais registros continuam ativos e possuem maior valor comercial.

"Esses dados são comercializados principalmente em fóruns clandestinos da Dark Web,além de grupos privados em aplicativos como Telegram e outras plataformas utilizadas pelo crime organizado."

Alex ressalta que as negociações normalmente acontecem utilizando criptomoedas, principalmente Bitcoin, justamente pela maior dificuldade de rastreamento das transações financeiras.

"Os dados são vendidos de forma individual ou em grandes pacotes, dependendo do interesse do comprador. É possível adquirir desde um único CPF até bases contendo milhões de registros de pessoas físicas ou empresas."

Quanto valem esses dados?

O valor depende diretamente da qualidade, da atualidade e do potencial financeiro das informações. Alex Terras destaca que grandes bases de dados corporativas ou governamentais podem atingir centenas de milhares de reais, dependendo da quantidade de registros, da sensibilidade das informações e do potencial de exploração.

"Um conjunto básico contendo CPF, nome completo e endereço normalmente é comercializado por valores entre R$ 20 e R$ 50. Já um pacote contendo CPF, RG, endereço, data de nascimento, telefone e outras informações pessoais, pode variar entre R$ 50 e R$ 500. Credenciais bancárias, principalmente quando estão associadas a contas com saldo elevado ou limites de crédito disponíveis, podem ultrapassar R$ 500 por registro."

Uma única base contendo milhões de registros pode ser revendida diversas vezes para compradores diferentes, gerando lucro contínuo para organizações criminosas.

Ainda de acordo com Alex, grande parte dos compradores são fraudadores financeiros que utilizam essas informações para abrir contas bancárias em nome das vítimas, solicitar empréstimos, emitir cartões de crédito, realizar compras fraudulentas, aplicar golpes envolvendo PIX e praticar lavagem de dinheiro.

"Também existem grupos especializados em engenharia social que utilizam dados para criar histórias convincentes em golpes por telefone, WhatsApp, SMS ou e-mail. Há ainda grupos ligados à espionagem corporativa, organizações criminosas e até agentes internacionais interessados em informações estratégicas para extorsão ou inteligência econômica. O diferencial desses golpes está justamente no uso de informações reais das vítimas."

Como saber se meus dados foram vazados?

Existem atualmente diversas ferramentas que permitem verificar se informações pessoais já apareceram em vazamentos conhecidos, como por exemplo:

• Serviços como o Have I Been Pwned (HIBP)
• Soluções de monitoramento oferecidas por empresas de proteção ao crédito
• Plataformas especializadas

Além dessas ferramentas, alguns sinais podem indicar que seus dados estão sendo utilizados indevidamente, como:

• Tentativas de recuperação de senha que você não solicitou
• Abertura de contas desconhecidas
• Empréstimos não reconhecidos
• Cobranças indevidas
• Aumento de ligações suspeitas
• Crescimento de tentativas de golpes utilizando seus dados pessoais.

Quais medidas posso tomar?

A primeira hora é a mais crítica. Os criminosos exploram os dados rapidamente para aplicar golpes.

As recomendações imediatas são:

• Alterar imediatamente as senhas
• Ativar o BC Protege+
• Consulte o Registrato
• Monitore seu CPF
• Desconfie de contatos suspeitos
• Provas documentais (tire prints, salve e-mails).

Como as empresas fazem para proteger os dados dos hackers?

Para finalizar, o advogado Alex Terras enfatiza que nenhuma organização está totalmente imune a ataques, mas a implementação de boas práticas reduz a probabilidade de incidentes.

Entre as medidas mais importantes estão:

• Implementação obrigatória de autenticação multifator (MFA);
• Criptografia de dados armazenados e transmitidos;
• Gestão contínua de vulnerabilidades;
• Atualização permanente de sistemas;
• Realização periódica de testes de invasão e avaliações de segurança;
• Monitoramento constante de ambientes internos e serviços em nuvem;
• Treinamento frequente dos colaboradores contra phishing e engenharia social;
• Monitoramento da Dark Web para identificar rapidamente possíveis vazamentos.

Também é fundamental que empresas estejam em conformidade com a Lei Geral de Proteção de Dados (LGPD), principalmente para reduzir riscos operacionais.

O maior vazamento de dados da história

Em 20 de janeiro de 2021, houve o maior vazamento de dados pessoais na história brasileira.

As bases de dados disponíveis, de graça ou à venda, incluíam nomes, Cadastros de Pessoa Física (CPF), fotos de rostos, endereços, números de telefone, scores de crédito e até salários. Foram expostos os dados de 223 milhões de brasileiros.

Esse número pode soar estranho, considerando que a população brasileira é de aproximadamente 210 milhões de pessoas, mas isso ocorreu porque os conjuntos de dados vazados incluíram dados pessoais de milhões de pessoas falecidas. Além disso, 104 milhões de registros de veículos também foram disponibilizados.

A partir deste vazamento, os criminosos vendiam informações pessoais por cerca de US$ 1, o equivalente a R$ 5,47 na época. O valor dependia da quantidade de dados que se desejava comprar. Quanto mais se comprava, maior era o desconto. Os dados foram vendidos em pacotes a partir de US$ 500, equivalente a R$ 2.735 na época, e os pagamentos deveriam ser efetuados apenas em Bitcoins.

Os dados foram publicados por um criminoso em um fórum on-line dedicado à comercialização de bases de dados.

Na época, a Polícia Federal prendeu dois hackers suspeitos de colocar as informações à venda.

De acordo com a investigação, Marcos Roberto Correia da Silva, conhecido como "Vandathegod", foi o responsável pela divulgação das informações de 223 milhões de brasileiros.

O segundo hacker, Yuri Batista Novaes, conhecido como "JustBR", foi preso em flagrante por posse ilegal de arma e, na casa dele, a Polícia Federal apreendeu quatro terabytes de dados.

De acordo com a investigação, Novaes teve participação na obtenção e divulgação dos dados.