← Artigos e guias sobre fraudes, cibersegurança, LGPD e lavagem

Vazamentos de dados no Brasil: maiores casos e o que veio depois

Do megavazamento de 223 milhões de CPFs às chaves Pix, iFood e Cemig: os maiores vazamentos públicos do Brasil e o que aconteceu depois de cada caso.

2026-10-22

Nome, CPF, endereço, renda, score de crédito: para boa parte dos brasileiros, esses dados já circularam em algum vazamento. É por isso que golpistas conseguem ligar para a vítima citando informações verdadeiras. Este levantamento reúne alguns dos maiores casos públicos do país e, principalmente, o que aconteceu depois de cada um.

O megavazamento de 2021

Em janeiro de 2021, o dfndr lab, laboratório de segurança da PSafe, revelou a exposição de dados ligados a mais de 223 milhões de CPFs, número superior à população do país porque incluía pessoas mortas. O pacote trazia nomes, endereços, renda, informações de imposto de renda, fotos, participação no Bolsa Família e score de crédito, além de mais de 40 milhões de CNPJs. Parte foi distribuída de graça e o restante oferecido em troca de criptomoedas (O POVO).

O que aconteceu depois

Prisão: em 19 de março de 2021, a Polícia Federal deflagrou a Operação Deepwater e prendeu em Uberlândia (MG) um suspeito de obter, divulgar e comercializar os dados; houve buscas também em Petrolina (PE) (O POVO).
Ação civil: em dezembro de 2023, o Ministério Público Federal em São Paulo pediu que a Serasa fosse multada em pelo menos R$ 200 milhões ou 10% do faturamento, além de indenização de R$ 30 mil por pessoa afetada. O MPF também cobrou a ANPD, que classificou como omissa (Mercado & Consumo).
Defesa: a Serasa Experian afirma que seus sistemas não foram invadidos e que não há evidência de que os dados tenham saído de suas bases, conclusão que diz ter sido apoiada por perícia independente. Até a reportagem, os pedidos do MPF aguardavam decisão (Mercado & Consumo).

Cinco anos depois, a origem exata do vazamento continua sem resposta pública definitiva, o que ilustra a dificuldade de responsabilizar alguém em casos de dados agregados de múltiplas fontes.

As chaves Pix

O Pix tem um histórico próprio de incidentes, quase sempre em instituições participantes e não no sistema central do Banco Central. Em março de 2026, o BC comunicou o vazamento de dados cadastrais de 28.203 chaves Pix sob responsabilidade da Pefisa, braço financeiro do grupo Pernambucanas, com exposição entre 30 de agosto de 2025 e 27 de fevereiro de 2026 (Olhar Digital). Foi o 23º incidente com chaves Pix desde o lançamento do sistema, em novembro de 2020, e o terceiro de 2026 (Portal de Prefeitura).

Os dados expostos (nome, CPF, instituição, agência, número e tipo de conta) não permitem movimentar dinheiro, segundo o BC, mas são exatamente o que um golpista precisa para parecer funcionário do banco. O BC informa que só notifica clientes pelos aplicativos e internet banking das instituições e abre apuração que pode levar a sanções.

Casos recentes em empresas

Caso	Quando	Afetados	Dados
Megavazamento de CPFs	Jan/2021	223 milhões de CPFs	Cadastro, renda, score, fotos
MedicSolution (software de clínicas)	Set/2025	~95 mil arquivos, 34 GB	Exames, raios-X, imagens
iFood	Dez/2025 (confirmado em jun/2026)	~1,2 milhão de usuários	Nome e CPF
Pefisa (chaves Pix)	Ago/2025–fev/2026	28.203 chaves	Cadastro bancário
Cemig	Mai/2026	~135 mil clientes	Nome, filiação, CPF, endereço, contato, valores de faturas

iFood

Em junho de 2026, o iFood confirmou um incidente ocorrido em dezembro de 2025 que expôs nomes e CPFs de cerca de 1,2 milhão de usuários, aproximadamente 2% da base. A empresa disse que senhas, dados bancários e de pagamento não foram afetados e que não notificou os usuários porque sua avaliação, com base nos critérios da ANPD, não identificou risco ou dano relevante (BNews). O caso mostra como o critério de "risco relevante" do regulamento de incidentes dá margem a decisões das próprias empresas.

Cemig

Em maio de 2026, a distribuidora mineira informou acesso não autorizado à base de clientes, com exposição de dados de cerca de 135 mil pessoas, incluindo nome dos pais, CPF, endereço e valores das faturas. A empresa comunicou ANPD, Aneel e polícia e começou a notificar os clientes individualmente (Investidor10).

MedicSolution

Em setembro de 2025, o grupo KillSec reivindicou o roubo de mais de 34 GB de exames e imagens de pacientes armazenados em buckets de nuvem desprotegidos de um fornecedor de software para clínicas. Pesquisadores compartilharam o caso com o CERT.br e a ANPD (Convergência Digital).

O que a lei exige depois de um vazamento

Pelo regulamento da ANPD, o controlador deve comunicar a autoridade e os titulares em até 3 dias úteis quando o incidente puder causar risco ou dano relevante, e manter registro de todos os incidentes, comunicados ou não, por cinco anos (Cescon Barrieu).

O que fazer se seus dados vazaram

Assuma que golpistas sabem seus dados e desconfie de quem liga citando CPF, banco ou agência.
Ative o BC Protege+ e consulte o Registrato para checar contas e empréstimos no seu nome.
Troque senhas e ative autenticação em dois fatores, sobretudo se o e-mail vazou.
Peça informações à empresa: a LGPD garante ao titular o direito de saber quais dados foram tratados.
Registre reclamação na ANPD se a empresa não responder.