Fóruns clandestinos e mercados ilegais na internet abastecem diariamente o comércio de informações pessoais, credenciais de acesso e registros corporativos furtados por grupos criminosos. A captura desses arquivos ocorre por falhas de segurança em sistemas, invasões diretas, erros de configuração e ataques de programas espiões conhecidos como infostealers, desenvolvidos especificamente para extrair senhas salvas nos aparelhos. Após a coleta, os pacotes de dados são organizados e vendidos a terceiros, servindo de base para golpes financeiros em larga escala e invasões automatizadas.
Levantamentos do setor de segurança digital indicam que 91% dos vazamentos corporativos passam a circular na dark web (parte oculta da internet que exige navegadores específicos para acesso) antes que os casos cheguem ao conhecimento do público pela imprensa. Agilizar a descoberta dessas falhas é determinante para conter prejuízos financeiros e blindar redes empresariais. Organizações que monitoram de forma preventiva esses canais subterrâneos reduzem em média 60% o tempo necessário para identificar brechas e acionar protocolos de defesa contra invasões cibernéticas em seus sistemas de controle.
Programas espiões roubam até 50 senhas de um único computador
Registros extraídos de diferentes invasões costumam ser agrupados em arquivos chamados de combo lists, listas unificadas que reúnem milhares de pares de e-mails e senhas. Esse material abastece ataques de força bruta e de preenchimento automático de credenciais (técnica denominada credential stuffing), nos quais softwares testam milhares de combinações de login simultaneamente em diversos sites. Um estudo da empresa de cibersegurança Hudson Rock aponta que um único computador infectado por malware do tipo infostealer entrega aos golpistas uma média estimada de 50 credenciais de acesso.
O hábito de repetir a mesma combinação de acesso em vários cadastros multiplica o risco de invasão para o cidadão comum. Quando a senha antiga de uma plataforma pouco utilizada vaza, grupos automatizados testam exatamente esse mesmo código em aplicativos bancários, correios eletrônicos corporativos e perfis de redes sociais. Caso o pacote furtado inclua dados de identificação civil, como data de nascimento, telefone e número do Cadastro de Pessoas Físicas (CPF), os fraudadores montam abordagens direcionadas de engenharia social, fingindo representar bancos para convencer a vítima a realizar transferências diretas.
Diante das diferentes modalidades de exposição, a gerente do Centro de Estudos, Resposta e Tratamento de Incidentes de Segurança no Brasil (CERT.br), vinculado ao Núcleo de Informação e Coordenação do Ponto BR (NIC.br), Cristine Hoepers, explicou que a resposta do usuário precisa ser ajustada ao perfil do arquivo vazado. “No material, mostramos o que fazer quando um vazamento acontece – as ações diferem dependendo das informações afetadas, se são financeiras, senhas ou relacionadas à identidade”, afirmou a gestora sobre a cartilha educativa da instituição.
Leia também: Onda de e-mails de redefinição de senha no X levanta preocupações de segurança
Ferramentas gratuitas rastreiam e-mails em bases públicas de vazamentos
Cidadãos que desejam checar se suas informações pessoais integram lotes de dados furtados contam com sistemas abertos de consulta na rede. Criada pelo especialista em segurança cibernética Troy Hunt, a plataforma Have I Been Pwned verifica se um endereço de e-mail consta em bancos de dados vazados já catalogados, detalhando ainda quais categorias de registros foram expostas em cada episódio. Outra alternativa conectada a esse mesmo acervo é o serviço Mozilla Monitor, que envia avisos automáticos aos usuários cadastrados caso novas ocorrências sejam detectadas.
Apesar da utilidade para o controle individual, esses mecanismos de busca apresentam limites técnicos e não garantem proteção absoluta ao titular da conta, uma vez que reúnem apenas os incidentes que já vieram a público e foram processados por especialistas. Ataques recém-executados, lotes negociados exclusivamente em grupos privados ou arquivos ainda não auditados pela comunidade de segurança ficam fora do radar imediato dessas ferramentas de verificação.
Ações imediatas de contenção e alertas da ANPD contra golpes
Instituições de defesa digital estabelecem um roteiro de emergência para quem confirma a exposição de seus registros, com foco em barrar a tomada de contas e perdas bancárias:
Continue lendo: Ticketmaster Brasil confirma vazamento de dados de clientes que compraram ingressos em 2025
- Substituir imediatamente a senha comprometida no serviço afetado e em qualquer outra plataforma onde a mesma combinação tenha sido reutilizada.
- Ativar a verificação em duas etapas priorizando aplicativos geradores de códigos temporários no celular, evitando depender apenas de mensagens de texto via SMS.
- Confirmar a veracidade de comunicados empresariais digitando o endereço oficial da instituição no navegador, sem acionar links enviados por aplicativos de mensagens.
- Monitorar faturas de cartão de crédito, extratos bancários e relatórios de movimentação financeira atrelados ao CPF para impedir a contratação fraudulenta de empréstimos.
Comunicações falsas relatando supostos incidentes de segurança também funcionam como armadilha frequente de criminosos para capturar dados. Nessa modalidade de fraude, os golpistas se passam por órgãos governamentais ou instituições financeiras e emitem avisos de urgência para induzir o usuário a acessar páginas falsas. A recomendação técnica é descartar qualquer atalho contido nessas mensagens alarmistas e procurar diretamente os canais oficiais de atendimento da empresa mencionada.
O diretor-presidente da Autoridade Nacional de Proteção de Dados (ANPD), Waldemar Gonçalves, destacou o peso das campanhas de orientação para garantir que a população saiba agir diante de falhas de segurança. “Acreditamos que a informação é fundamental para que os titulares de dados exerçam os seus direitos. Por meio da disseminação do conhecimento, também reforçamos o nosso compromisso com o fortalecimento de uma cultura de proteção de dados pessoais do País”, declarou o executivo por ocasião do lançamento dos guias institucionais em 23 de janeiro de 2024.
Os fascículos técnicos produzidos conjuntamente pela ANPD e pelo CERT.br reúnem as diretrizes permanentes destinadas a consumidores e empresas sobre como notificar incidentes e corrigir vulnerabilidades de sistemas em todo o território nacional.
