Um banco de dados com mais de 148 milhões de registros de brasileiros ficou acessível a qualquer pessoa na internet. O problema estava em um servidor Elasticsearch configurado sem proteção, que permitia consultar o conteúdo sem senha. A origem do arquivo ainda não foi identificada.
Cada registro reúne CPF, nome completo, data de nascimento, endereço residencial com CEP e número de telefone. Amostras do material foram comparadas com a base oficial de cadastro de CPF, e os dados conferiram. Ou seja, a maior parte dos números pertence a pessoas reais e está ligada aos nomes certos.
De onde veio o arquivo
Ninguém assumiu a responsabilidade pelo servidor até agora. O conjunto tem semelhanças com vazamentos que já circularam no Brasil, o que levanta uma hipótese comum nesses casos: alguém juntou bases antigas, organizou tudo em um único índice e deixou o servidor exposto por descuido. Sem confirmação, não dá para dizer se há informação nova ali ou se é uma recompilação.
Para quem teve o CPF exposto, a diferença importa pouco. O Brasil acumula episódios desse tipo há anos, e cada nova compilação deixa os dados mais completos e mais fáceis de usar. Um golpista que tem nome, CPF, data de nascimento, endereço e telefone de alguém consegue se passar pela vítima em atendimento de banco, operadora ou loja virtual com bem menos esforço.
Ataque a lojas de moda
No mesmo período, um grupo de cibercriminosos invadiu o sistema de pagamento de várias lojas de moda que vendem pela internet no Brasil. Os nomes das redes afetadas e o número de compradores atingidos não foram divulgados. Os dois casos não têm ligação confirmada, mas juntos aumentam o risco de fraude em compras online: um fornece a identidade, o outro pode fornecer dados de cartão.
O que fazer agora
Como a lista de CPFs afetados não foi publicada, o mais seguro é agir como se o seu estivesse nela. Ligações e mensagens que já sabem seu nome, endereço e data de nascimento não provam que vêm do banco. Desligue e ligue você mesmo para o número oficial. Ative a verificação em duas etapas no aplicativo do banco, no e-mail e no WhatsApp, e acompanhe a fatura do cartão nas próximas semanas, principalmente se você comprou roupas pela internet recentemente.
Pela Lei Geral de Proteção de Dados, quem controla um banco desse tamanho deve comunicar o incidente à Autoridade Nacional de Proteção de Dados. Como o responsável pelo servidor exposto não foi identificado, até 28 de outubro de 2026 não havia notificação pública ligada a este caso.
