Golpes digitais já atingem uma parcela enorme da população brasileira.
Levantamentos recentes apontam que cerca de 32% dos usuários de internet com 16 anos ou mais relataram tentativas de fraude, o que representa algo próximo de 45 milhões de pessoas. Uma parcela relevante também afirma já ter sido vítima efetiva de algum golpe.
O problema é que os criminosos não precisam necessariamente “hackear” alguém do zero. Em muitos casos, eles combinam informações que já vazaram, dados públicos, redes sociais, senhas reutilizadas e engenharia social para montar golpes extremamente convincentes.
E quanto mais dados eles têm, mais real a fraude parece.
Como os criminosos conseguem os dados?
Existem vários caminhos.
Um dos mais comuns são os vazamentos de dados.
Segundo materiais oficiais de segurança da informação do governo federal, informações podem vazar por ataques a sistemas, senhas fracas, códigos maliciosos, furto de equipamentos, falhas humanas ou até funcionários que acessam dados de forma indevida.
Quando uma base desse tipo chega às mãos de criminosos, ela pode conter informações como:
- nome completo;
- CPF;
- telefone;
- endereço;
- e-mail;
- data de nascimento;
- dados financeiros;
- senhas;
- informações de contas.
Esses dados podem depois ser usados isoladamente ou combinados.
Um vazamento antigo ainda pode gerar golpe hoje
Esse é um dos pontos mais importantes.
Muita gente imagina que um vazamento só oferece risco no momento em que acontece.
Não é verdade.
Uma base roubada pode circular por anos.
Criminosos podem cruzar informações de diferentes vazamentos e montar um perfil muito mais completo da vítima.
Por exemplo:
base A: nome + CPF
base B: telefone + e-mail
base C: senha antiga
rede social: empresa onde trabalha + familiares
Quando essas informações são combinadas, o golpe fica muito mais convincente.
Redes sociais entregam informações valiosas
Nem todo dado usado por criminosos foi roubado.
Muitas informações estão disponíveis publicamente.
Fotos, localização, profissão, aniversário, nome de familiares e rotina podem ser encontrados em redes sociais.
Um golpista pode descobrir:
- onde você trabalha;
- quem é seu chefe;
- onde seus filhos estudam;
- quais bancos utiliza;
- lugares que frequenta;
- quando está viajando.
Isso permite criar golpes personalizados.
Quanto mais personalizado, maior a chance de funcionar
Um golpe genérico pode dizer:
“Seu cartão foi bloqueado.”
Mas um criminoso que possui mais informações pode enviar algo como:
“Identificamos uma compra suspeita no cartão do banco que você utiliza.”
Se ainda incluir parte do seu CPF, nome completo ou endereço, a mensagem parece muito mais legítima.
É justamente por isso que dados pessoais possuem tanto valor no mercado criminoso.
O próprio material de segurança digital do governo alerta que, quanto mais informações o atacante possui, mais convincente pode ser uma tentativa de phishing direcionado.
Phishing continua sendo uma das principais portas de entrada
Phishing é quando o criminoso tenta enganar a vítima para que ela entregue informações voluntariamente.
Isso pode acontecer por:
- e-mail;
- SMS;
- WhatsApp;
- redes sociais;
- sites falsos;
- ligações.
O golpista costuma criar uma sensação de urgência.
Exemplos comuns:
“Seu benefício será bloqueado.”
“Existe uma compra suspeita.”
“Você tem dinheiro para receber.”
“Seu CPF possui pendência.”
“Clique aqui para cancelar uma cobrança.”
O objetivo é fazer a pessoa agir antes de pensar.
Sites falsos imitam empresas e órgãos públicos
Outro método comum é criar páginas praticamente idênticas às originais.
O Tribunal de Contas da União identificou 855 páginas falsas e 572 ocorrências de phishing relacionadas à personificação de órgãos públicos entre janeiro e setembro de 2025.
Os criminosos reproduzem:
- logotipo;
- cores;
- textos;
- formulários;
- páginas de login.
Depois promovem esses sites por anúncios, mensagens e redes sociais.
A vítima acredita estar em um canal oficial e entrega seus dados.
Criminosos também se passam pelo governo
Golpes usando identidade de instituições públicas cresceram o suficiente para virar alvo de auditoria do TCU.
A corte encontrou falhas na prevenção em vários órgãos federais e destacou casos envolvendo falsos sites e mensagens em nome de instituições públicas.
O formato costuma seguir uma sequência:
criminoso entra em contato → se passa por instituição → cria urgência → pede dinheiro ou dados.
Pode ser falso INSS, Receita Federal, banco, tribunal ou outro órgão.
Senhas reutilizadas são outro problema
Imagine que você usou a mesma senha em dez sites.
Um deles sofre vazamento.
O criminoso pega seu e-mail e senha e tenta entrar em:
- Gmail;
- Instagram;
- loja online;
- aplicativo financeiro;
- streaming.
Essa técnica é conhecida como credential stuffing.
O governo recomenda justamente evitar reutilização de senhas e ativar verificação em duas etapas.
Celular também pode virar fonte de dados
O smartphone concentra praticamente toda a vida digital de uma pessoa.
Nele estão:
- contatos;
- fotos;
- documentos;
- aplicativos bancários;
- e-mails;
- redes sociais;
- localização.
Se o aparelho estiver desprotegido ou algum aplicativo malicioso conseguir acesso, as informações podem ser exploradas.
Aplicativos de terceiros também podem solicitar permissões excessivas e acessar dados desnecessários.
Aplicativos falsos podem roubar informações
Outra estratégia é distribuir aplicativos que parecem legítimos.
Eles podem se apresentar como:
- rastreador de encomenda;
- aplicativo bancário;
- atualização;
- ferramenta de segurança;
- programa de benefícios.
Depois de instalados, podem tentar capturar:
- SMS;
- senhas;
- notificações;
- contatos;
- códigos de autenticação.
Por isso, instalar aplicativos fora das lojas oficiais aumenta o risco.
Golpistas compram dados?
Sim, existe um mercado ilegal de informações.
Bases de dados roubadas podem ser vendidas e revendidas em fóruns criminosos.
Um comprador pode adquirir milhares ou milhões de registros e depois segmentar vítimas.
Por exemplo:
idosos
empresários
clientes de determinado banco
pessoas de determinada cidade
Isso permite campanhas de golpe muito mais direcionadas.
O dado sozinho pode não parecer perigoso
Um número de telefone isolado talvez pareça pouco importante.
Mas combinado com CPF, endereço e nome completo, ele pode ser muito mais útil.
Essa é uma das razões pelas quais o vazamento de informações precisa ser tratado com seriedade.
O problema não é apenas o dado individual.
É a combinação.
Golpes podem terminar em abertura de contas
Dados roubados podem ser usados para tentar criar contas bancárias ou solicitar crédito em nome da vítima.
Materiais oficiais alertam para riscos como:
- abertura de contas;
- emissão de cartões;
- empréstimos;
- movimentações financeiras;
- furto de identidade.
Mesmo quando o criminoso não consegue concluir a fraude, a vítima pode precisar gastar tempo contestando operações.
A vítima também pode ser usada para enganar outras pessoas
Uma conta de WhatsApp ou Instagram roubada possui valor porque o criminoso herda a confiança da rede de contatos.
Ele pode então mandar mensagens pedindo:
“Faça um Pix para mim.”
“Troquei de número.”
“Preciso pagar uma conta urgente.”
Amigos e familiares podem acreditar justamente porque a mensagem parece vir de alguém conhecido.
Inteligência artificial pode tornar golpes mais convincentes
A IA também ampliou o problema.
Ferramentas modernas conseguem produzir:
- textos convincentes;
- imagens falsas;
- vozes sintéticas;
- vídeos manipulados.
Isso pode dificultar a identificação de fraudes.
Mas o princípio continua parecido: o criminoso usa informação sobre a vítima para tornar a abordagem mais crível.
Como saber se seus dados já vazaram?
Nem sempre existe uma forma simples de descobrir toda a exposição.
Mas alguns sinais merecem atenção:
- códigos de login que você não pediu;
- tentativas de redefinição de senha;
- contas desconhecidas;
- empréstimos que você não contratou;
- cobranças inesperadas;
- mensagens de bancos onde você nem possui conta.
Também vale acompanhar regularmente contas financeiras e histórico de crédito.
O que fazer para reduzir o risco?
Algumas medidas reduzem bastante as chances de prejuízo:
- use uma senha diferente para cada serviço importante;
- ative autenticação em dois fatores;
- não informe códigos recebidos por SMS;
- confira o endereço do site antes de fazer login;
- evite clicar em links enviados por desconhecidos;
- limite dados públicos nas redes sociais;
- mantenha celular e aplicativos atualizados;
- revise permissões concedidas aos aplicativos.
Nenhuma medida elimina completamente o risco, mas juntas elas tornam o golpe muito mais difícil.
E quando alguém liga dizendo ser do banco?
Não continue a operação pela própria ligação.
Desligue e procure o banco pelo aplicativo oficial, cartão ou número conhecido.
Não confie apenas porque a pessoa sabe:
- seu nome;
- CPF;
- endereço;
- últimos números do cartão.
Essas informações podem ter vindo de bases vazadas.
Não forneça códigos de autenticação
Um código de segurança existe justamente para provar que quem está tentando entrar na conta possui seu aparelho.
Se outra pessoa pede esse código, isso é um grande sinal de alerta.
Bancos e plataformas legítimas não precisam que você envie um código recebido no seu celular para um atendente desconhecido.
Empresas também possuem responsabilidade
A responsabilidade não pode ficar apenas com o consumidor.
Empresas que armazenam dados precisam aplicar controles adequados de segurança e limitar acessos.
A legislação brasileira garante direitos aos titulares e permite reclamações sobre tratamento inadequado de informações pessoais.
Quanto mais dados uma empresa acumula, maior também é sua responsabilidade de protegê-los.
Governo também enfrenta dificuldades
A auditoria do TCU mostrou que muitos órgãos públicos ainda possuem lacunas relevantes na prevenção a golpes de personificação.
Sete das oito organizações avaliadas não atingiram 50% das práticas recomendadas no estudo.
O tribunal também destacou que a subnotificação dificulta medir o tamanho real do problema.
Ou seja, o número de golpes pode ser ainda maior do que os registros oficiais conseguem mostrar.
Quanto o Brasil perde com golpes?
Não existe uma base oficial única capaz de medir todas as fraudes digitais.
O TCU cita estudos que estimam prejuízos na ordem de R$ 100 bilhões por ano considerando o universo mais amplo de golpes e fraudes digitais no Brasil.
É importante não confundir esse valor com apenas golpes causados por vazamento de dados.
Ele representa uma estimativa mais ampla do problema.
Conclusão: o criminoso não precisa saber tudo sobre você
O crescimento dos golpes com dados pessoais mostra que a fraude digital está ficando cada vez mais profissional.
Criminosos conseguem informações por vazamentos, ataques, senhas reutilizadas, aplicativos maliciosos e até pelas próprias redes sociais das vítimas.
Depois cruzam essas informações.
E é justamente isso que torna o golpe perigoso.
Uma mensagem falsa deixa de parecer genérica quando contém seu nome, seu banco, seu telefone ou parte do seu CPF.
Por isso, segurança digital hoje não significa apenas evitar vírus.
Significa também reduzir a quantidade de informação disponível, proteger as contas e desconfiar de qualquer situação em que alguém tente criar urgência para conseguir dinheiro, senha ou códigos.
Perguntas frequentes
Como criminosos conseguem meu CPF e telefone?
Essas informações podem vir de vazamentos, ataques a sistemas, bases criminosas, redes sociais ou serviços em que os dados foram expostos.
Um dado vazado pode ser usado anos depois?
Sim. Bases roubadas podem continuar circulando e ser cruzadas com vazamentos mais recentes.
Como saber se uma ligação do banco é verdadeira?
Interrompa o contato e procure o banco diretamente pelo aplicativo ou pelos canais oficiais.
Autenticação em dois fatores realmente ajuda?
Sim. Ela cria uma barreira adicional mesmo quando uma senha é descoberta.
O que fazer se perceber uma conta aberta no meu nome?
Entre em contato imediatamente com a instituição responsável, registre a contestação e preserve comprovantes e registros da fraude.
