Vazamento de Dados: Como Descobrir se Você Foi Atingido (2026)

Ano passado um cliente meu só descobriu que os dados dele estavam circulando quando o banco ligou perguntando sobre uma compra de R$ 3.200 num site de eletrônicos que ele nunca tinha ouvido falar. Não tinha clicado em link nenhum, não tinha instalado nada estranho — o problema veio de um vazamento em outra empresa, meses antes, que só apareceu quando alguém usou o CPF dele pra tentar um golpe. É basicamente assim que a maioria dos vazamentos de dados funciona hoje: você não vê o momento em que aconteceu, só vê a consequência tempos depois.

Em abril de 2026 um caso confirmou isso em escala: um agente identificado como “Buddha” colocou à venda na dark web um banco batizado de “MORGUE”, com 251,7 milhões de registros de CPF supostamente ligados ao Gov.br — nome completo, filiação, data de nascimento, raça e, em parte dos registros, até data de óbito. Não precisa ter feito nada errado pra estar numa base dessas. Por isso vale checar de tempos em tempos, não só quando alguma coisa estranha já aconteceu.

Onde checar se seus dados vazaram

Nenhuma dessas ferramentas é 100% completa sozinha — cada uma indexa vazamentos diferentes — então o ideal é rodar pelo menos duas:

Have I Been Pwned (haveibeenpwned.com): digite o e-mail e ele mostra em quais vazamentos conhecidos aquele endereço apareceu, com data e tipo de dado exposto. É gratuito e é o primeiro lugar que eu checo.
Serasa (app ou site): em “Meu CPF” tem a opção “Vazamento de dados” → “Consultar”. Cobre bases brasileiras que o Have I Been Pwned não indexa, principalmente vazamentos de varejo e financeiras nacionais.
Registrato, do Banco Central: não verifica vazamento em si, mas mostra todo relacionamento financeiro em seu nome — contas, cartões, empréstimos consultados. Se alguém abriu algo com seu CPF vazado, geralmente aparece aqui primeiro. Leva de 1 a 3 dias úteis pra gerar o relatório, então não é uma checagem instantânea.
PrivaBR e ferramentas parecidas: cruzam mais de 50 fontes de uma vez, incluindo fóruns e canais de Telegram onde bases vazadas circulam antes de virarem notícia.

Uma coisa que confunde muita gente: aparecer num vazamento antigo (de 2019, por exemplo) não significa que seu risco é baixo. Muita dessas bases ficam circulando, sendo combinadas com vazamentos novos e revendidas anos depois — é assim que golpistas montam perfis completos (nome + CPF + telefone + endereço) juntando pedaços de vazamentos diferentes.

Sinais de que seus dados já estão sendo usados

Antes mesmo de rodar qualquer ferramenta, alguns sinais já indicam uso indevido:

Ligações ou SMS de “centrais de atendimento” que já sabem seu nome completo, CPF e às vezes até o banco que você usa — isso é phishing direcionado, feito com dado vazado, não adivinhação.
E-mails de redefinição de senha que você não pediu, em serviços que você nem lembra ter cadastro.
Notificação do banco sobre tentativa de abertura de conta ou empréstimo em seu nome.
Aumento repentino de spam e ligações de telemarketing agressivo, principalmente logo depois de um vazamento grande sair na mídia.
Cartão recusado numa compra legítima porque o sistema antifraude do banco travou o cartão por atividade suspeita — geralmente é o primeiro aviso real de que algo está errado.

O que fazer depois de confirmar o vazamento

Confirmado que seus dados apareceram em algum lugar, a ordem importa:

Troque a senha do serviço vazado primeiro, e de qualquer outro lugar onde você usava a mesma senha (se você reusa senha entre sites, agora é a hora de parar).
Ative autenticação em duas etapas nas contas mais críticas — e-mail principal, banco, e qualquer coisa ligada a pagamento. Prefira sempre app autenticador em vez de SMS, porque SMS pode ser interceptado via troca de chip fraudulenta (SIM swap).
Monitore fatura e extrato pelas próximas semanas, não só nos primeiros dias. É comum golpista testar com uma compra pequena antes de tentar uma grande.
Peça a exclusão dos seus dados na empresa que vazou. A LGPD (Lei 13.709/2018), no Art. 18, garante esse direito a qualquer cidadão brasileiro — a empresa é obrigada a atender, e se ignorar, dá pra reclamar na ANPD (Autoridade Nacional de Proteção de Dados).
Registre um Boletim de Ocorrência se identificar uso do CPF em fraude concreta (compra, empréstimo, abertura de conta). Muitos bancos e operadoras pedem o B.O. pra reverter cobrança indevida com mais agilidade.

Vale saber também: pela LGPD, empresas têm até 3 dias úteis, após identificar um incidente com risco relevante, pra notificar a ANPD. Na prática isso quase nunca acontece dentro do prazo — muitas só admitem o vazamento quando a imprensa já está noticiando, então não espere um e-mail formal avisando. Parta do princípio de que, se você usa um serviço há anos, seus dados provavelmente já passaram por algum vazamento, notificado ou não.

Como reduzir o risco antes do próximo vazamento

Vazamento em empresa terceira você não controla. Mas dá pra reduzir o estrago quando (não “se”) acontecer de novo:

Use um gerenciador de senhas com senha única e forte por serviço — assim um vazamento não derruba todas as suas contas de uma vez.
Desconfie de qualquer contato — telefone, e-mail, WhatsApp — que peça confirmação de dados “por segurança”. Bancos de verdade não pedem senha ou código completo por telefone.
Configure um firewall decente na sua rede e revise as regras periodicamente; isso ajuda a barrar tentativas de acesso mesmo depois que um dado seu já vazou. Tem um guia completo sobre isso aqui no blog: Tudo Sobre Firewall: O Que É e Como Configurá-lo.
Mantenha um antivírus atualizado também no celular, não só no computador — boa parte do roubo de credenciais hoje passa por app falso ou link no WhatsApp. Veja as opções em Os Melhores Antivírus para Dispositivos Móveis.
Aprenda a reconhecer phishing direcionado (o tipo que já usa seus dados reais pra parecer legítimo) em Como Evitar Golpes de Phishing ao Navegar na Internet.

Perguntas frequentes

Vazamento de dados é a mesma coisa que meu computador ter sido invadido?
Não necessariamente. Na maioria dos casos que chegam às manifestações públicas, o vazamento aconteceu do lado da empresa (banco, loja, órgão público) que guardava seus dados, não do seu dispositivo. Por isso rodar antivírus não impede esse tipo de vazamento — o que ajuda é reduzir o estrago depois.

Preciso pagar alguma dessas ferramentas de verificação?
Have I Been Pwned e a consulta de vazamento no app do Serasa são gratuitos. O Registrato do Banco Central também é gratuito. Desconfie de sites que pedem cartão de crédito só pra “checar se seu CPF vazou” — isso costuma ser golpe.

Meu e-mail apareceu num vazamento de 2019. Ainda preciso me preocupar?
Sim. Bases antigas continuam sendo recombinadas e revendidas por anos. Se você nunca trocou a senha daquela época, ainda vale trocar agora.

Consigo remover meu CPF definitivamente da internet?
Não de forma completa — uma vez que um dado vazou e foi copiado em vários lugares, não existe um botão de “apagar tudo”. O que dá pra fazer é pedir exclusão nas empresas específicas (direito garantido pela LGPD) e reduzir o dano monitorando ativamente suas contas.