Vazamento de dados em 2026 pode afetar CPFs de brasileiros

O recente megavazamento de dados no Brasil alcançou volumes impressionantes com a descoberta da base chamada “MORGUE”. Um criminoso digital, que se apresenta com o pseudônimo “Buddha”, colocou à venda nada menos que 251.720.444 registros de CPFs associados ao portal Gov.br. Esse número supera os 223 milhões de registros expostos em 2021, englobando informações detalhadas de indivíduos, tanto vivos quanto falecidos, totalizando 25,1 GB de dados.

### Anatomia do banco de dados MORGUE

Um aspecto técnico importante ajuda a explicar a quantidade excessiva de registros: o CPF é emitido no Brasil desde 1965, resultando em um acúmulo de cadastros de pessoas falecidas ao longo dos anos. A base em questão parece incluir informações como status e data de óbito, além de dados sobre raça e cidade de nascimento, que confirmam a presença de registros históricos. Para tentar validar a autenticidade do material, o vendedor disponibilizou uma amostra de 20 mil linhas de forma gratuita.

### A cronologia da invasão e a falha de supervisão

De acordo com rastros digitais deixados pelo invasor, as informações foram extraídas em 15 de março de 2025. O incidente ocorre em um contexto de fragilidade das instituições responsáveis pela proteção desses dados. A Autoridade Nacional de Proteção de Dados (ANPD) recebe críticas pela falta de efetividade na imposição de sanções que incentivem investimentos em segurança cibernética, tanto em órgãos públicos quanto no setor privado.

### Riscos imediatos

A divulgação dessas informações facilita a prática de crimes como engenharia social, abertura de contas bancárias fraudulentas e clonagem de identidades. Com acesso a dados de filiação e datas específicas, criminosos conseguem superar medidas de autenticação que dependem de perguntas de segurança. Esse incidente destaca a insegurança em relação ao Cadastro de Pessoas Físicas, que se tornou um ativo valioso no mercado clandestino de dados.

Até o momento da publicação, não houve um comunicado oficial por parte do Governo Federal ou da ANPD confirmando ou negando o vazamento.