Vazamento de dados: como descobrir e o que fazer agora
A palavra “vazamento” está em alta no Brasil, e a notícia de um ataque ao Gov.br deixou muita gente preocupada. A boa notícia é que dá para verificar em poucos minutos se seus dados apareceram em algum vazamento conhecido — e, se apareceram, existe um passo a passo simples para se proteger. Este artigo é um guia calmo: o que aconteceu de verdade, como checar e o que fazer em cada caso.
Resumo rápido
- O Gov.br sofreu um ataque recorde nesta semana, mas o Serpro afirma que nenhum dado foi comprometido — e ataque não é a mesma coisa que vazamento.
- Em cerca de 5 minutos, ferramentas gratuitas mostram se o seu e-mail ou CPF já apareceu em algum vazamento conhecido.
- Se vazou, respira: trocar as senhas, ativar a verificação em duas etapas e monitorar suas contas resolve a maior parte do risco.
Ataque não é vazamento: o que aconteceu com o Gov.br
Na semana passada, o diretor de Novos Negócios do Serpro, André Picoli Agatte, disse num evento de inteligência artificial em Brasília que o Gov.br sofreu um ataque “sem precedentes”. A frase correu a internet, e muita gente entendeu que os dados de 179,5 milhões de brasileiros tinham vazado. Não foi isso que aconteceu — pelo menos segundo a própria estatal.
No mesmo dia, o Serpro publicou um esclarecimento: o que houve foi uma série de ataques de negação de serviço, o famoso DDoS, em volume recorde no último semestre. Um ataque DDoS é como uma multidão bloqueando a porta de uma loja: milhares de acessos falsos chegam ao mesmo tempo para deixar o serviço lento ou fora do ar. Ninguém entra, nada é levado de dentro — o alvo é o servidor, não o celular de quem usa o aplicativo. E a estatal foi direta: “não houve qualquer tipo de impacto, interrupção ou comprometimento” dos ambientes do Gov.br, segundo a reportagem do TekiMobile.
Vale lembrar o tamanho do alvo: o Gov.br reúne 179,5 milhões de contas, 5.390 serviços federais e 4 mil sistemas integrados ao login único — do Meu INSS ao Enem, passando pela Carteira de Trabalho Digital. Um ataque bem-sucedido contra a autenticação travaria pedido de benefício, consulta de vacina e inscrição em vestibular ao mesmo tempo. Segundo o Serpro, isso não aconteceu. E já aconteceu algo parecido antes: em 11 de setembro de 2024, um ataque DDoS deixou instáveis o Gov.br e tirou do ar, por algumas horas, páginas do Palácio do Planalto, de ministérios e da Anatel.
Como descobrir se seus dados vazaram em 5 minutos
Se a dúvida é como saber se meus dados vazaram, a resposta cabe em 5 minutos: consulte uma das ferramentas gratuitas que cruzam o seu e-mail com as bases de vazamentos conhecidos. A mais usada no mundo é o Have I Been Pwned, criado pelo especialista em segurança Troy Hunt: você digita o e-mail, e o site mostra em quais vazamentos aquela conta apareceu — e quais dados foram expostos em cada um. O serviço também permite ativar um alerta para ser avisado se o e-mail aparecer em vazamentos futuros. O Google oferece algo parecido no verificador de senhas, que avisa quando uma senha guardada na conta aparece em listas de vazamento, como explica o TecMundo.
Para o CPF, o caminho é outro: o Registrato, do Banco Central, mostra as contas, os empréstimos, as chaves Pix e os cheques que existem no seu nome — de graça. Se aparecer algo que você não reconhece, é sinal de que alguém pode estar usando o seu documento. E um aviso importante, que o Serasa reforça: só use ferramentas conhecidas. Site desconhecido que promete “consulta grátis de vazamento” pode ser o golpe em si, feito para coletar ainda mais dados seus.
- Digite seu e-mail no Have I Been Pwned e veja em quais vazamentos ele aparece.
- Confira o verificador de senhas da sua conta Google.
- Consulte o Registrato do Banco Central e veja se há conta, empréstimo ou chave Pix que você não reconhece.
- Olhe os sinais: tentativa de login que não foi você, código de redefinição de senha que você não pediu, conta bloqueada, aumento repentino de spam, cobrança ou fatura de algo que você não comprou.
Vazou. E agora? O passo a passo com calma
Se alguma ferramenta mostrou que seus dados apareceram num vazamento, respira. A exposição não significa que alguém já usou os seus dados — significa que eles estão circulando, e que você precisa fechar as portas antes que alguém tente. A ordem é simples: primeiro as contas mais importantes.
Comece pelo e-mail, porque é ele que recupera a senha de quase tudo. Troque a senha por uma forte e única — e aqui está o ponto que mais protege você: nunca repita a mesma senha em vários serviços. A senha é como a chave da sua casa: se você usa a mesma chave para a casa, o carro e o escritório, basta uma cópia para abrir tudo. Depois do e-mail, troque as senhas do banco, das redes sociais e de qualquer serviço que use a mesma senha antiga.
Em seguida, ative a verificação em duas etapas (o 2FA) nas contas principais. Funciona como uma segunda fechadura: mesmo com a senha, o invasor ainda precisa de um código que só chega no seu celular ou aplicativo. E nos dias seguintes, monitore os extratos do banco e do cartão — se aparecer qualquer movimentação estranha, avise o banco na hora. Se o CPF tiver sido usado para abrir conta, pedir empréstimo ou cartão, registre um boletim de ocorrência e peça o cancelamento à instituição financeira.
- Troque a senha do e-mail — e de todo serviço que usava a mesma senha.
- Ative a verificação em duas etapas no e-mail, no banco e nas redes sociais.
- Monitore extratos e faturas por algumas semanas e conteste qualquer movimentação estranha.
- Se o CPF foi usado indevidamente, faça boletim de ocorrência e avise a instituição financeira.
- Avise a empresa onde o vazamento aconteceu — ela tem obrigações pela LGPD — e, se for o caso, reclame no Procon.
Por que esse assunto volta a assustar todo mundo
Toda vez que uma notícia de ataque ou vazamento de informações aparece, o medo volta com força — e junto com ele voltam dois velhos conhecidos: dados antigos vendidos como novidade e golpes que pegam carona no susto. Em junho de 2025, por exemplo, um megavazamento com mais de 16 bilhões de logins e senhas, compilado a partir de malwares que roubam dados de navegadores, virou manchete no mundo inteiro — e até hoje esse número circula nas redes como se fosse um vazamento novo. Dados vazados não somem: eles são revendidos, recombinados e voltam a aparecer em novas listas, o que faz o mesmo susto se repetir.
O outro clássico é a promessa de dinheiro fácil. Circula nas redes a história de que todo brasileiro teria direito a uma indenização automática de R$ 15 mil por vazamento de dados. É falso. A LGPD permite pedir reparação, mas só com dano comprovado — fraude, golpe, prejuízo à reputação — e não existe valor fixo: cada caso é analisado pela Justiça. E por que a história da indenização cola tão fácil? Porque ela promete dinheiro sem esforço — e medo com promessa de dinheiro é a isca perfeita. Desconfie de qualquer formulário ou cadastro que prometa indenização: muitas vezes, o “pedido de indenização” é só uma forma de colher os seus dados de novo. É o mesmo tipo de boato que se espalha depois de qualquer notícia de segurança — como o falso apagão de 17 de novembro, que desmentimos aqui no UzTech.
Como os vazamentos realmente acontecem
Se você imagina um hacker de capuz digitando num quarto escuro, esquece: a maioria dos vazamentos não começa com uma invasão de cinema. Segundo o TecMundo, o erro humano esteve por trás de mais de 90% das violações em 2024: configurações erradas, sistemas desatualizados, senhas fracas e cliques em links suspeitos. Do lado do criminoso, a ferramenta mais comum hoje é o infostealer — um programa espião que se instala junto com um download duvidoso e copia as senhas guardadas no navegador, como alguém que fotografa as chaves deixadas sobre a mesa.
Esses dados roubados vão parar em bases que são vendidas ou trocadas em fóruns e numa parte escondida da internet, a chamada dark web, fora do alcance dos buscadores comuns. É por isso que serviços como o Have I Been Pwned e o monitoramento da Serasa existem: eles vigiam essas bases e avisam quando o seu e-mail ou CPF aparece por lá.
E os alvos são cada vez maiores. O presidente do Serpro, Wilton Mota, disse em outubro que a estatal enfrenta todos os dias uma “enxurrada de agentes de IA” tentando acessar os sistemas e explorar falhas — alguns se passando por mecanismos de busca. O ataque de hoje é automatizado, constante e paciente: não é um invasor tentando uma vez, são robôs tentando milhares de vezes, todos os dias.
Isso não significa que você está indefeso. Significa que a proteção também precisa ser rotina, não reação: senha única por serviço, verificação em duas etapas e uma checagem de tempos em tempos. Nenhuma dessas medidas é complicada — e juntas elas resolvem a imensa maioria dos riscos que um vazamento comum traz.
Seus direitos pela LGPD (e o que ninguém precisa te vender)
A Lei Geral de Proteção de Dados, a LGPD, garante que você seja informado quando os seus dados vazarem, que possa exigir esclarecimentos sobre o que foi comprometido e pedir a exclusão ou o bloqueio desses dados. Se a empresa não responder direito, dá para registrar reclamação na Autoridade Nacional de Proteção de Dados, a ANPD, pelo site gov.br/anpd — a autarquia pode analisar o caso, aplicar multas e exigir correções, como explica o Serasa.
Se houve prejuízo de verdade — uma fraude, um empréstimo aberto no seu nome, um golpe aplicado com os seus dados — o caminho é reunir as provas (boletim de ocorrência, prints, comunicados da empresa, extratos) e buscar a Justiça, com advogado ou Defensoria Pública. Em casos com muitas vítimas, entidades de defesa do consumidor e o Ministério Público podem entrar com ações coletivas. O que não existe é atalho: nenhum site, formulário ou “consultor” pode garantir indenização por você — e quem promete isso provavelmente quer os seus dados, não o seu dinheiro de volta.
Concluindo: o controle está nas suas mãos
Os vazamentos não vão parar. Cada ano traz bases maiores, ataques mais automatizados e alvos mais valiosos — o Gov.br, com 179,5 milhões de contas, é só o exemplo mais visível da semana. Mas a boa notícia é que a defesa também não depende de sorte: ela depende de três hábitos simples, que qualquer pessoa consegue manter — senha única por serviço, verificação em duas etapas e uma checagem de tempos em tempos. Quem tem esses três hábitos não fica imune a vazamentos, mas fica muito mais difícil de ser atingido por eles.
E o melhor momento para criar esse hábito é agora, com calma, antes de qualquer susto. Cinco minutos de verificação hoje valem mais do que horas de correria depois de um golpe. Se a sua checagem deu limpa, ótimo — ative o alerta e siga a vida. Se apareceu alguma coisa, calma: o que fazer se meus dados vazaram é simples — troca a senha, ativa a segunda fechadura e monitora as contas. Sem pânico, sem drama, só método.
Eu sei que o assunto assusta à primeira vista, mas a verdade é que a maior parte do risco some com atitudes simples — e é por isso que a gente escreveu este guia: para você sair daqui sabendo exatamente o que fazer, em vez de sair com medo. Você já verificou seus dados alguma vez — ou vai fazer a primeira checagem hoje, depois de ler este artigo?
Perguntas frequentes
Meus dados vazaram. Isso quer dizer que já fui roubado?
Não. A exposição não significa que alguém já usou os seus dados — significa que eles estão circulando e podem ser usados. É por isso que a reação rápida importa: trocar as senhas e ativar a verificação em duas etapas fecha as portas antes que alguém tente entrar. O risco real aparece quando a senha vazada é a mesma que você usa em vários serviços.
O Have I Been Pwned é seguro? Posso digitar meu e-mail lá?
Sim. O serviço foi criado pelo especialista em segurança Troy Hunt e só consulta bases de vazamentos já conhecidos — ele mostra em quais vazamentos o seu e-mail apareceu, sem pedir senha nenhuma. A ferramenta é gratuita e é a mais usada no mundo para esse tipo de consulta. O cuidado é outro: nunca digite CPF ou senha em site de consulta desconhecido.
O Gov.br foi hackeado?
Não, segundo o Serpro. O que aconteceu foi uma série de ataques DDoS em volume recorde — uma enxurrada de acessos falsos para sobrecarregar os servidores. A estatal afirma que não houve queda, invasão nem comprometimento de dados, e que as contas dos 179,5 milhões de usuários não foram expostas. O que o episódio mostra é o tamanho do alvo: um ataque ao login único travaria serviços de milhões de pessoas ao mesmo tempo.
Tenho direito à indenização de R$ 15 mil por vazamento?
Não existe indenização automática de R$ 15 mil — essa informação é falsa e circula nas redes há anos. A LGPD permite pedir reparação, mas só com dano comprovado, como uma fraude ou um prejuízo financeiro, e o valor é decidido caso a caso pela Justiça. O pedido começa com a reclamação à empresa e à ANPD, e a ação judicial exige provas. Desconfie de formulários que prometem indenização: muitas vezes são iscas para colher os seus dados.
