Vazamento de dados: o que fazer quando acontece

Vazamento de dados deixou de ser evento raro. A pergunta prática não é mais "se", e sim "o que muda para mim quando acontece".

O risco real não é o dado, é o que se faz com ele

Seu nome e CPF isolados valem pouco. O que os torna perigosos é a combinação: nome, CPF, endereço, telefone, data de nascimento, com qual banco você tem conta, o que comprou recentemente.

Com isso, o criminoso consegue duas coisas:

Parecer legítimo. Liga sabendo seus dados, e a reação natural é confiar. É exatamente essa reação que o dado vazado compra. Veja engenharia social.

Se passar por você. Abrir conta, contratar crédito, fazer compra parcelada, tirar chip com seu número.

Como saber se seus dados vazaram

• Serviços que checam se seu e-mail apareceu em vazamentos conhecidos.
• Registrato, do Banco Central, mostra todas as contas, chaves Pix e operações de crédito no seu CPF. É gratuito e é a checagem mais reveladora que existe.
• Consulta de CPF nos birôs de crédito, para ver se há dívida ou consulta que você não fez.
• Aumento súbito de ligações e mensagens de golpe é indício.

O que fazer imediatamente

1. Troque senhas repetidas. Comece pelo e-mail, porque quem controla o e-mail redefine a senha de todo o resto.

2. Ative verificação em duas etapas em tudo que permitir. Prefira aplicativo autenticador a SMS, porque SMS é vulnerável a troca de chip.

3. Cadastre senha no chip da operadora, o que dificulta a portabilidade fraudulenta do seu número.

4. Consulte o Registrato e verifique contas e chaves Pix que você não reconhece.

5. Ative notificação de toda transação no aplicativo do banco.

6. Considere bloquear consulta ao seu CPF nos birôs, um recurso gratuito que impede abertura de crédito em seu nome sem sua liberação.

7. Avise a família. Golpes personalizados costumam mirar parentes usando seus dados.

Se já usaram seus dados

Conta ou crédito aberto em seu nome:

1. Registre boletim de ocorrência. Veja boletim de ocorrência online.
2. Comunique a instituição por escrito, exigindo protocolo, e conteste formalmente.
3. Notifique os birôs de crédito para incluir alerta de fraude.
4. Se houver negativação indevida, cabe ação de indenização, e o entendimento consolidado é de que a instituição responde pelo risco da atividade.

Chip clonado: procure a operadora imediatamente e depois refaça a segurança de todas as contas ligadas ao número.

Seus direitos pela LGPD

A Lei 13.709/2018 garante ao titular:

• Confirmação de que existe tratamento dos seus dados
• Acesso aos dados
• Correção de dado incompleto ou desatualizado
• Anonimização, bloqueio ou eliminação de dado desnecessário ou tratado em desconformidade
• Portabilidade
• Informação sobre compartilhamento com terceiros
• Revogação do consentimento

Além disso, o controlador tem o dever de comunicar o incidente à ANPD e aos titulares quando o vazamento puder acarretar risco relevante.

Se a empresa não responder ou negar, você pode peticionar à ANPD, a Autoridade Nacional de Proteção de Dados.

Vazamento não autoriza tudo

Vale separar duas coisas que se confundem. Dado que circula por vazamento é de origem ilícita, e usá-lo é problema, mesmo que ele esteja acessível.

Isso é diferente de dado público oficial, como processo judicial, que é público por determinação constitucional e pode ser consultado legalmente. Tratamos da distinção em LGPD e consulta de dados públicos.

Serviço que exibe base ampla de dados pessoais sem origem oficial declarada deve ser tratado com desconfiança, e usá-lo expõe quem consulta.

Reduzindo exposição daqui em diante

• Não informe CPF onde não é necessário.
• Use e-mail secundário para cadastros comerciais.
• Revise permissões de aplicativos periodicamente.
• Desconfie de formulário que pede mais dado do que a finalidade exige. A LGPD chama isso de princípio da necessidade, e ele é seu direito.

O golpe que vem depois do vazamento

Existe um padrão previsível. Semanas depois de um vazamento grande, começam as ligações citando seus dados corretos: o número do seu cartão parcial, a última compra, o nome do seu gerente.

O objetivo é sempre o mesmo: usar a precisão dos dados para você baixar a guarda e então pedir o que o vazamento não entregou, que é a senha, o token ou a transferência.

A regra que resolve: saber seus dados não prova nada. Quem liga sabendo tudo sobre você pode ser a instituição ou pode ser quem comprou a base. Desligue e ligue pelo canal oficial. Sempre.

Empresas também têm dever

Se o vazamento foi de uma empresa com quem você tem relação, ela tem obrigações concretas: comunicar o incidente, informar quais dados foram expostos e quais medidas foram tomadas.

Resposta genérica de assessoria não cumpre isso. Você pode exigir por escrito, com protocolo, a informação específica sobre os seus dados. Guardar essa troca é o que sustenta reclamação futura na ANPD ou ação de reparação.

Sobre a sensação de que não adianta

É comum concluir que, já que tudo vazou mesmo, não vale se proteger. A conclusão está errada por um motivo prático: o criminoso escolhe alvo por facilidade.

Verificação em duas etapas, senha única por serviço, senha no chip e bloqueio de consulta ao CPF fazem você sair da lista dos alvos fáceis. Não existe segurança absoluta, existe deixar de ser o mais barato de atacar.

Um hábito que vale mais que todos os outros

Se for para adotar uma única medida, adote a verificação em duas etapas no e-mail principal. O e-mail é a chave-mestra: quem o controla redefine a senha de banco, rede social e aplicativo de mensagem.

É a proteção com melhor relação entre esforço e resultado que existe hoje, e leva menos de cinco minutos para ativar.

Checagem periódica vale a pena

Nada disso é tarefa de uma vez só. Vale marcar no calendário uma revisão a cada seis meses: consultar o Registrato, olhar o CPF nos birôs, revisar permissões de aplicativos e conferir se alguma senha antiga voltou a ser usada.

Leva vinte minutos e antecipa problemas que, descobertos tarde, custam meses de burocracia para desfazer.