Os golpistas descobrem nossos dados principalmente por quatro caminhos: vazamentos de bases de empresas e órgãos, informações que nós mesmos publicamos em redes sociais, links e mensagens falsas (phishing) e conversas enganosas por telefone ou WhatsApp. Com nome, CPF, data de nascimento e telefone, eles abrem contas, pedem crédito e se passam pela vítima. Para conferir uso indevido, consulte o Registrato do Banco Central e o seu CPF na Serasa.
A tabela abaixo resume de onde vêm as informações, o que os criminosos costumam obter em cada caso e a proteção mais eficaz para cada situação.
| Origem dos dados | O que o golpista obtém | Como se proteger |
|---|---|---|
| Vazamento de dados de empresas | Nome, CPF, endereço, telefone, e-mail | Monitorar CPF e trocar senhas |
| Redes sociais | Família, rotina, aniversário, trabalho, fotos | Perfil fechado e menos detalhes pessoais |
| Phishing (links e sites falsos) | Senhas, dados de cartão, códigos | Não clicar; acessar só pelo app oficial |
| Ligações e WhatsApp | Códigos de verificação, senhas, Pix | Nunca repassar códigos recebidos por SMS |
| Apps falsos e vírus | Acesso ao celular, contatos, banco | Instalar apps só de lojas oficiais |
| Documentos e celular perdidos | Cópias de RG, CPF, contas abertas | Bloqueio de tela e descarte picotado |
Como golpistas descobrem nossos dados, fonte por fonte
Quase nunca o criminoso consegue tudo de uma vez: ele junta pedaços de informação de várias fontes até montar um perfil convincente. Um CPF vazado num cadastro de loja, somado ao nome da mãe visto numa rede social e ao telefone obtido numa lista, já basta para muitos golpes. Entender cada fonte ajuda a fechar as portas certas.
Vazamento de dados de empresas e órgãos
O vazamento de dados é a origem mais comum das informações básicas usadas em fraudes. Quando um sistema de varejista, operadora, plataforma ou serviço é invadido ou mal configurado, bases com milhões de registros acabam circulando em fóruns e grupos clandestinos. Há ainda os chamados “painéis de consulta” ilegais, vendidos em aplicativos de mensagem, que permitem buscar nome, endereço, parentes e telefone a partir de um CPF.
Nesse caso, a vítima não fez nada de errado: o dado saiu de uma empresa. Por isso não basta ser cuidadoso, é preciso monitorar o uso do próprio CPF com frequência.
Redes sociais e informações públicas
Redes sociais entregam o contexto que torna o golpe crível. Fotos com familiares, marcações de local, nome da escola dos filhos, data de aniversário, empresa onde trabalha e viagens em andamento ajudam o golpista a escolher a vítima e a inventar uma história. É assim que surge o falso parente pedindo dinheiro “porque trocou de número” justamente quando você postou que está viajando.
Phishing: links, sites e mensagens falsas
Phishing é a mensagem que imita banco, loja, órgão público ou transportadora para levar você a um site falso e digitar senha, número do cartão ou código. Ela chega por SMS, e-mail, WhatsApp ou anúncio patrocinado, quase sempre com urgência: “sua conta será bloqueada”, “taxa pendente da encomenda”, “pontos expirando”. O endereço do site parece o verdadeiro, mas tem uma letra trocada ou um domínio diferente.
Engenharia social por telefone e WhatsApp
Engenharia social é a técnica de convencer a própria vítima a entregar a informação. O criminoso liga dizendo ser da central do banco, do suporte de um aplicativo ou de uma empresa de entregas e pede que você confirme dados ou informe um código que “acabou de chegar”. Esse código, na verdade, é o que libera o acesso à sua conta de WhatsApp, e-mail ou banco.
Aplicativos falsos, vírus e Wi-Fi público
Apps baixados fora das lojas oficiais, arquivos enviados por mensagem e programas de “acesso remoto” instalados a pedido de falsos atendentes podem dar ao golpista controle do celular. A partir daí, ele lê notificações, vê contatos e tenta movimentar o banco. Redes Wi-Fi abertas, sem senha, também facilitam a interceptação de dados quando o site não usa conexão segura.
Documentos físicos, lixo e celular roubado
Cópias de documentos esquecidas em balcões, contas jogadas no lixo sem rasgar e celulares furtados sem bloqueio de tela são fontes simples e ainda muito usadas. Um aparelho desbloqueado dá acesso a e-mail, fotos de documentos e aplicativos bancários, o que torna urgente bloquear a linha e o aparelho logo após o roubo.
O que um golpista pode fazer com meus dados
Com dados pessoais, um golpista pode abrir contas bancárias, contratar empréstimos e crediários, fazer compras a prazo, cadastrar chaves Pix, criar perfis falsos e aplicar golpes em seus contatos usando seu nome. O dano depende de quais informações ele reúne: quanto mais completo o conjunto, maior o risco.
| Dado em poder do golpista | Uso mais comum |
|---|---|
| Só nome e CPF | Cadastros em lojas, consultas, tentativas de crédito |
| CPF, data de nascimento e nome da mãe | Abrir contas digitais e pedir empréstimos |
| Telefone e código de verificação | Clonar WhatsApp e pedir dinheiro aos contatos |
| Senha e dados do cartão | Compras on-line e transferências |
| Fotos de documentos e selfie | Validar contas e contratos em seu nome |
| Dados do benefício do INSS | Empréstimo consignado não autorizado |
Só o CPF raramente basta para um hacker fazer grandes estragos, mas ele é a peça central que liga todas as outras. Por isso, o vazamento do número deve ser tratado como alerta para reforçar a vigilância, e não como motivo de pânico.
Como saber se estão usando meu CPF
Para saber se estão usando seu CPF, consulte gratuitamente o Registrato, do Banco Central, que mostra contas, empréstimos e chaves Pix em seu nome, e verifique sua situação em birôs de crédito como a Serasa. Aposentados e pensionistas devem conferir também o extrato de empréstimos consignados. A tabela mostra onde olhar e o que cada serviço revela.
| Onde consultar | O que mostra | Acesso |
|---|---|---|
| Registrato (Banco Central) | Contas, empréstimos, chaves Pix, câmbio | Gratuito, com conta gov.br |
| Serasa | Dívidas negativadas e consultas ao CPF | Cadastro gratuito; alguns recursos pagos |
| Meu INSS | Empréstimos consignados no benefício | Gratuito, com conta gov.br |
| Portal gov.br | Serviços públicos acessados com seu login | Gratuito |
| Have I Been Pwned | Se seu e-mail apareceu em vazamentos | Gratuito, site em inglês |
Checagem mensal do seu CPF em 5 passos
1. Registrato
Veja contas, empréstimos e chaves Pix que você não reconhece.
2. Birô de crédito
Confira dívidas e consultas recentes ao seu CPF.
3. Meu INSS
Para quem recebe benefício: confira consignados.
4. E-mail
Verifique vazamentos e troque senhas expostas.
5. Achou algo?
Conteste na instituição e registre boletim de ocorrência.
Outros sinais também indicam uso indevido: cartas ou e-mails de bancos onde você nunca teve conta, cobranças de compras que não fez, ligações de cobrança em seu nome e queda repentina no score de crédito. Qualquer um deles merece uma consulta imediata ao Registrato.
Como impedir que usem meu CPF e proteger dados pessoais
Não existe bloqueio total do CPF, mas é possível dificultar muito o uso indevido combinando segurança nas contas digitais, menos exposição e monitoramento frequente. As medidas abaixo resolvem a maior parte dos riscos:
- Verificação em duas etapas: ative no WhatsApp, no e-mail, nas redes sociais e no gov.br, para que só a senha não baste para entrar.
- Conta gov.br protegida: use senha forte e exclusiva, porque ela dá acesso ao Registrato, ao Meu INSS e a outros serviços com seus dados.
- Senhas diferentes: não repita a mesma senha em vários sites; um gerenciador de senhas ajuda a criar e guardar combinações fortes.
- Códigos são pessoais: nenhum banco, loja ou empresa séria pede o código que chegou por SMS; quem pede é golpista.
- Acesso direto: entre no banco e nas lojas digitando o endereço ou pelo aplicativo oficial, nunca por links recebidos em mensagens.
- Redes mais discretas: feche o perfil, esconda telefone e data de nascimento e evite postar viagens enquanto elas acontecem.
- Cadastros mínimos: questione lojas que pedem CPF sem necessidade e evite enviar fotos de documentos por mensagem.
- Celular bloqueado: use senha ou biometria na tela e anote o IMEI do aparelho para bloqueá-lo rapidamente em caso de roubo.
Quais são os golpes mais comuns pelo WhatsApp
Os golpes mais comuns pelo WhatsApp são a clonagem da conta, o falso parente com “número novo”, a falsa central de atendimento, ofertas falsas de emprego e o falso sorteio ou promoção. Todos dependem de dados que o golpista já reuniu e de fazer a vítima agir com pressa.
- Clonagem: o criminoso pede o código de seis dígitos enviado por SMS e, com ele, registra seu número em outro aparelho.
- Falso parente: usa foto de um familiar tirada das redes e diz ter trocado de número, pedindo um Pix urgente.
- Falsa central: se apresenta como banco ou loja e pede dados, senha ou a instalação de um aplicativo.
- Falso emprego: oferece renda por tarefas simples, como curtir vídeos, e depois exige depósitos para “liberar ganhos”.
- Prêmio falso: anuncia sorteio ou brinde e pede pagamento de taxa ou cadastro em link suspeito.
O que aparece no WhatsApp quando ele é hackeado
O sinal mais claro é o aplicativo deslogar sozinho com o aviso de que seu número não está mais registrado no aparelho. Também vale desconfiar se surgirem mensagens enviadas que você não escreveu, contatos dizendo que você pediu dinheiro ou dispositivos desconhecidos em “Aparelhos conectados”. Nesse caso, entre de novo com seu número, ative a confirmação em duas etapas e avise seus contatos.
Quanto ao acesso aos seus contatos, ele costuma vir da própria conta clonada, de agendas sincronizadas em apps maliciosos ou de grupos dos quais você participa, onde os números ficam visíveis para todos.
O que fazer se meus dados foram usados em golpe
Se encontrar conta, empréstimo ou compra que não reconhece, aja rápido e guarde provas de tudo. A sequência abaixo é a mais indicada:
- Registre provas: salve prints, extratos do Registrato, mensagens e números usados pelo golpista antes de apagar qualquer coisa.
- Boletim de ocorrência: registre na delegacia ou na delegacia eletrônica do seu estado, descrevendo o uso indevido dos dados.
- Contate a instituição: peça o cancelamento da conta ou do contrato e conteste a cobrança pelos canais oficiais, informando o número do protocolo.
- Escale a reclamação: sem solução, procure a ouvidoria da empresa, o Procon da sua cidade ou o Banco Central, no caso de bancos.
- Troque senhas: altere as senhas de e-mail, gov.br e bancos, e revise os aparelhos conectados em cada conta.
Se a cobrança indevida virar negativação ou prejuízo financeiro relevante, vale buscar orientação de um advogado ou da Defensoria Pública para avaliar pedido de indenização.
Roubo de dados é crime?
Sim, o roubo de dados e seu uso para fraudes são crimes no Brasil. A Lei nº 12.737/2012 incluiu no Código Penal o crime de invasão de dispositivo informático, e a Lei nº 14.155/2021 tornou mais graves o furto e o estelionato praticados por meio eletrônico, criando a figura da fraude eletrônica.
Já a Lei Geral de Proteção de Dados (Lei nº 13.709/2018) obriga empresas e órgãos a proteger as informações que guardam e a comunicar incidentes de segurança que possam causar risco ou dano relevante aos titulares. Quem teve dados expostos por falha de uma empresa pode pedir explicações a ela e, sem resposta, apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD).
Perguntas frequentes
Como golpistas conseguem informações pessoais?
Golpistas conseguem informações pessoais em vazamentos de bases de empresas, painéis ilegais de consulta, redes sociais, links falsos que pedem cadastro e ligações em que se passam por atendentes. Em geral, combinam várias fontes para montar um perfil completo da vítima.
Como golpistas conseguem nosso endereço?
O endereço costuma vir de vazamentos de cadastros de lojas, operadoras e serviços de entrega, além de bases vendidas ilegalmente. Fotos e check-ins em redes sociais também podem revelar onde você mora ou trabalha.
Como golpistas conseguem nossos dados bancários?
Na maioria dos casos, a própria vítima digita os dados num site falso ou os informa a um falso atendente por telefone. Vírus e aplicativos de acesso remoto instalados a pedido do golpista também permitem capturar senhas e números de cartão.
Existe site para identificar golpistas?
Não há um cadastro oficial único de golpistas. O que ajuda é conferir o CNPJ da empresa no site da Receita Federal, pesquisar a reputação em plataformas de reclamação e desconfiar de qualquer contato que peça pagamento urgente ou códigos.
Dá para localizar um golpista?
A localização é tarefa da polícia, que pode pedir à Justiça dados de bancos, operadoras e plataformas. Por isso o boletim de ocorrência com provas detalhadas, como chave Pix, número de telefone e prints, é essencial.
É possível trocar o número do CPF depois de um vazamento?
A troca do CPF não é um procedimento comum, e o vazamento por si só não costuma justificar um novo número. Para casos graves de fraude, consulte diretamente a Receita Federal sobre as possibilidades e mantenha o monitoramento constante do documento.
