O VAZAMENTO DO FIM DO MUNDO: 248 MILHÕES de pessoas EXPOSTAS! E AGORA?

O

A

Imagina acordar e descobrir que o seu CPF, o seu endereço, o seu telefone e até o nome da sua mãe estão à venda na internet. Junto com os dados de outros 248 milhões de brasileiros.

Foi essa a notícia que estourou nessa semana. Um grupo criminoso anunciou a venda de uma base gigantesca e disse que tirou tudo de dentro da Receita Federal.

A Receita nega. Diz que é notícia falsa, que essa base é velha.

Mas restringiu os comentários no post.  Que coisa, não? E aí, em quem você acredita?

Hoje a gente vai destrinchar esse caso. O que vazou, onde mora o risco de verdade pra quem declara o imposto de renda, e o que você faz pra se proteger. 

Claro, como sempre, pra honrar o seu like e a sua inscrição aqui com a gente.

O ANÚNCIO QUE ASSUSTOU O BRASIL

Na quarta-feira, dia 10 de junho, o site TecMundo publicou uma reportagem que rodou o Brasil inteiro.

Um grupo internacional de cibercriminosos, que se apresenta com o nome de Buddha, anunciou num fórum ilegal a venda de uma base de dados com informações de 248 milhões de brasileiros.

Pra você ter ideia do tamanho disso: essa base teria mais CPFs do que o Brasil tem de habitantes vivos. Como que pode isso? Claro, entram na conta pessoas que já morreram e estrangeiros com CPF.

Segundo o anúncio, são mais de 1 bilhão de registros. 

Quase 79 GB de arquivos, organizados em 24 bancos de dados prontos pra consulta. Qualquer comprador abre, digita um CPF e puxa a capivara completa da vítima.

Você e eu estaríamos lá também.

Os criminosos afirmam que tudo isso foi extraído diretamente de sistemas da Receita Federal nesse ano, explorando uma falha num sistema antigo. E dizem mais: que essa falha continuaria aberta até hoje.

Ainda segundo eles, essa brecha nem seria a mais crítica que eles conseguiriam acessar. É mole?

O preço do pacote? Seriam 1.300 dólares. Pouco mais de R$6.750.

Faz a conta comigo. R$6.750 dividido por 248 milhões de pessoas. Os dados completos de mil brasileiros saem por menos de 3 centavos.

É mole? A sua vida cadastral inteira, junto com a da sua família, valendo menos que uma bala de banca de jornal.

O QUE TEM DENTRO DESSA BASE

Agora presta atenção nessa parte, porque ela separa o pânico da informação.

O TecMundo analisou amostras enviadas pelos próprios criminosos. E o que apareceu lá foi basicamente o cadastro de pessoas físicas e jurídicas.

Olha a lista: CPF, nome completo, data de nascimento, sexo, nome da mãe, ocupação, endereço completo com CEP, e-mail e telefone. No caso das empresas, CNPJ, sócios, capital social e atividade econômica.

São 133 milhões de telefones. Endereços vinculados a 290 milhões de cadastros. Quase 19 milhões de registros ligando empresas aos seus sócios. 

E a análise técnica encontrou indícios de que o material é sim, consistente: CPFs e CNPJs com dígitos verificadores válidos, tabelas no padrão da Receita, os 5.501 municípios, as 27 unidades da federação.

A RECEITA NEGA TUDO

No quinta, dia 11, a Receita Federal soltou uma nota oficial e foi dura: chamou a história de fake news.

Segundo o leão, não teve invasão, vazamento nem comprometimento de nenhuma base de dados. A nota diz que esses dados são antigos, a maioria de 2019, 

ligados a um incidente já conhecido e amplamente divulgado desde 2021.

A simples presença de CPF numa base de dados não prova de onde a informação saiu, porque o CPF é usado em milhares de cadastros públicos e privados há décadas.

Traduzindo: a Receita diz que os bandidos pegaram uma base velha, deram uma maquiada, colaram a etiqueta da Receita Federal em cima e anunciaram como novidade pra vender mais caro.

E olha, isso faz sentido. Esse truque é manjado no submundo dos dados. O nome técnico é repack: o criminoso reembala vazamento antigo e vende como se fosse pão quentinho.

E os próprios criminosos admitiram à reportagem que as informações estão atualizadas só até 2019. 

Estranho, né?

O FANTASMA DE 2021

Pra entender essa história, você precisa conhecer o tal incidente antigo que a Receita citou na nota. 

Em janeiro de 2021 veio à tona o maior vazamento de dados da história do Brasil. Ficou conhecido como megavazamento, e teve gente apelidando de vazamento de dados do fim do mundo.

Foram mais de 223 milhões de CPFs expostos, com nome, data de nascimento, endereço, telefone, e-mail e até score de crédito. Os dados eram de agosto de 2019 e foram parar à venda em fóruns na internet.

Até hoje ninguém cravou oficialmente de onde aquela base saiu. 

A Serasa foi apontada como suspeita e sempre negou. 

Existe até uma ação coletiva correndo na Justiça da Inglaterra contra o grupo Experian, dono da Serasa, por causa desse caso.

Então quando a Receita diz que a base de agora é recirculação de 2019, ela está apontando pra esse fantasma. Um vazamento que já aconteceu, já rodou o mundo, e volta de tempos em tempos com roupagem nova.

Vamos nos desesperar com calma: se a Receita estiver certa, os seus dados que aparecem nessa base já estavam expostos há uns cinco anos.

O que não deixa a situação boa. Só deixa ela velha.

A PARTE QUE ME INCOMODA

Agora deixa eu te mostrar por que eu não consigo simplesmente ler a nota da Receita e dormir tranquilo.

Em fevereiro desse ano, a Polícia Federal deflagrou a Operação Exfil. Sabe o que ela investiga? Um esquema de obtenção ilícita de declarações fiscais sigilosas, com acesso não autorizado aos sistemas da Receita Federal.

Servidores da própria Receita foram afastados das funções, estão de tornozeleira eletrônica, com passaporte cancelado e proibidos de sair do país. Em abril veio uma nova fase, com mandado de prisão preventiva no Rio e em São Paulo.

As vítimas nesse caso eram autoridades públicas e familiares, incluindo gente ligada ao Supremo. As declarações sigilosas delas foram parar na mão de criminosos mediante pagamento.

Então repara na diferença. A Receita pode estar certa quando diz que essa base de 248 milhões não saiu dos sistemas dela. Eu até acho provável que esteja.

Mas o sigilo fiscal no Brasil já foi violado por gente de dentro. Isso está provado, tem operação da PF, tem servidor afastado do cargo. Ou seja, o dado saiu do lado de quem deveria proteger. 

Tinha servidor lucrando com declaração sigilosa. O sistema mais blindado do mundo não resiste a um funcionário corrupto com senha de acesso.

E O SEU BITCOIN DECLARADO?

Aqui chega a pergunta que muito investidor me fez nessa semana: William, eu declarei minhas criptomoedas no imposto de renda. Se vazar, o bandido descobre o que eu tenho?

A resposta honesta tem duas partes.

Primeira: nessa base anunciada agora, pelo que foi analisado, não tem informação de bens, de investimentos nem de cripto. Então esse episódio específico não expôs a sua carteira. Respira.

Segunda parte: o risco existe e é real. A Receita sabe exatamente quem opera cripto no Brasil. 

Desde 2019, as exchanges brasileiras são obrigadas a informar mensalmente as operações dos clientes, sem limite de valor. Já quem opera por exchange estrangeira precisa prestar informações quando o total mensal passa do limite exigido pela Receita. 

Pela regra antiga, esse limite era de R$30 mil; com a DeCripto, que substitui o modelo atual a partir de julho desse ano, passa para mais de R$35 mil no mês.

Só em setembro do ano passado, mais de 4,5 milhões de CPFs apareceram nos relatórios mensais de criptoativos da Receita.

E a Receita cruza tudo isso com inteligência artificial. Em 2023, por exemplo, ela identificou mais de 25 mil pessoas que tinham bitcoin e não declararam, somando mais de R$1 bilhão escondido do fisco.

Ou seja: existe, dentro de um sistema do governo, uma lista detalhada de quem tem criptomoeda no Brasil, com nome, CPF e movimentação. Se um dia essa lista vaza, ou se um servidor corrupto vende uma consulta, o estrago é de outro nível.

Porque cripto tem uma característica cruel. Se o bandido sequestra você ou a sua família e força uma transferência, a operação é irreversível. Sem banco pra estornar, sem seguro do governo, sem botão de arrependimento.

E isso já acontece na prática. Casos de extorsão e sequestro contra investidores de cripto vêm crescendo no mundo inteiro, justamente porque criminoso adora vítima mapeada.

Isso até em país desenvolvido tá acontecendo. Palestrante cripto indo em evento segurança armada. Nos Estados Unidos.

Sequestros na França.

Você declarou certinho, cumpriu a lei, e parte do seu risco mora no cofre de dados do governo. É tudo no nosso, né?

O QUE O GOLPISTA FAZ COM OS SEUS DADOS

Você pode estar pensando: tá, mas o que alguém faz com o meu CPF e o nome da minha mãe?

Faz estrago. Muito estrago.

Com esses dados, o golpista monta o que o mercado chama de engenharia social. É o nome técnico pra arte de enganar gente usando informação verdadeira.

Ele te liga sabendo o seu nome completo, o seu endereço, a sua data de nascimento e o nome da sua mãe. Aí se apresenta como gerente do seu banco, funcionário da Receita ou atendente da operadora.

E você acredita que é uma beleza. Porque ele sabe coisas que, na sua cabeça, só o banco saberia. E também porque você não vive disso, o bandido te pega na fraqueza. Você tá trabalhando, almoçando.

O meliante faz isso o dia inteiro.

Esses dados alimentam o golpe da falsa central de segurança, a abertura de conta no seu nome, empréstimo fraudulento e até o golpe da restituição do imposto de renda.

Aliás, olha esse número: a Kaspersky, empresa de cibersegurança, identificou pelo menos 120 sites falsos imitando a Receita Federal só nesse ano, durante a temporada da declaração. O número quase dobrou na reta final do prazo.

O criminoso nem precisa invadir o seu banco. Ele convence você a abrir a porta. E com os seus dados na mão, a história dele fica convincente demais.

Essa semana mesmo meu amigo quase caiu no golpe do chalé de dia dos namorados por 500 reais. Nesse caso nem teve dado vazado, foi uma propaganda do Insta mesmo. Golpão. Ia ser difícil explicar pra patroa que ficou sem a noitada e sem quinhentão na conta. Ia azedar o dia 12 por lá.

COMO VOCÊ SE PROTEGE AGORA

Beleza, agora bora pro que interessa. Anota aí o que você faz a partir de hoje.

Primeiro: parte do princípio de que os seus dados cadastrais já vazaram. CPF, endereço, telefone, nome da mãe. Depois de 2021, isso vale pra praticamente todo brasileiro. Então nenhuma ligação ganha a sua confiança só porque a pessoa do outro lado sabe esses dados. Eu nem atendo telefone, só de família, amigos e clientes. Mas confesso que de vez em quando eu perco alguma coisa que era do meu interesse. Fazer o que, não tem solução com custo zero.

Segundo: ativa a verificação em duas etapas em tudo. Na conta gov.br, no WhatsApp, no e-mail, no aplicativo do banco e da corretora. Essa medida sozinha já barra a maioria das invasões de conta.

Terceiro: cria uma regra de ouro com a família. Banco não liga pedindo senha, Receita não manda link por WhatsApp e ninguém sério pede transferência pra conta segura. Recebeu contato assim? Desliga e liga você mesmo pro número oficial.

Quarto: monitora o seu CPF. Usa o Registrato, que é um sistema gratuito do Banco Central, pra ver todas as contas e dívidas abertas no seu nome. E consulta a situação do seu CPF na Receita e nos birôs de crédito de tempos em tempos.

E olha essa dica de ouro: Vai la no govbr e ativa o recurso que bloqueia a abertura de contas no seu nome. Olha como é fácil:

Acessa https://meubc.bcb.gov.br/

Vai em “Fazer Login””

Loga aí com seu gov.br

Do lado esquerdo, vai aqui em BC Protege

E depois só ligar essa chavinha aqui:

Só lembrar de religar quando precisar abrir uma conta.  É muito útil e se você não sabia,  só isso já deveria valer o seu like e a sua inscrição, né?

Mas seguimos: com a quinta dica, esse é pra quem tem cripto: quanto menos gente souber o que você tem, melhor. Não posta carteira em rede social, não conta saldo pra estranho e estuda autocustódia com calma antes de movimentar valor alto. Quem tem patrimônio relevante em cripto precisa pensar também em segurança física, e isso inclui a família.

E sexto: se você confirmar que caiu num golpe, registra boletim de ocorrência na hora, avisa o banco e contesta as operações. Velocidade aqui vai salvar o seu dinheiro.

Você faria isso tudo hoje? Faz. Leva uns dez minutos e protege anos de trabalho.

NO FINAL, SOBRA PRA QUEM?

Vamos fechar o raciocínio..

Na amostra analisada não apareceu declaração de imposto de renda. Não apareceu ficha de bens e direitos, não apareceu salário, não apareceu quanto você tem investido, não apareceu carteira de Bitcoin.

Isso é cadastro. É grave? É gravíssimo. Mas é diferente de ter a sua declaração completa exposta na praça.

Só que com aquele porém que a gente falou. Os criminosos afirmaram ao TecMundo que esse sistema invadido seria apenas um entre vários que eles teriam comprometido, e nem seria o mais crítico.

Isso pode ser verdade, pode ser papo de bandido pra valorizar o produto. Ninguém confirmou. 

A Receita nega o vazamento, e os indícios técnicos até apoiam a versão dela nesse caso. A base parece mesmo ser velha, requentada de 2019 e revendida com etiqueta nova.

Mas o quadro geral segue horroroso. O Estado brasileiro coleta uma quantidade absurda de informação sobre a sua vida. Tudo hoje é no gov br, inclusive, será que esse não é o plano final de rastreio sobre tudo o que acontece na sua vida? Falei disso nesse vídeo aqui em cima.

Renda, patrimônio, bens, cripto, movimentação, parentesco, endereço. Tudo concentrado num lugar só.

E a história recente mostra que esse cofre está longe de ser inviolável. Teve megavazamento em 2021 sem culpado apontado até hoje. Tem servidor da própria Receita investigado pela PF por vender declaração sigilosa de autoridade.

Você é obrigado por lei a entregar tudo. E quem paga a conta quando o dado escapa? É tudo no nosso. O prejuízo cai no seu colo. O golpe entra na sua conta, o transtorno é seu, e a indenização, quando vem, demora anos. 

Por isso a lição desse episódio é simples: você não controla os cofres do governo, mas controla as suas defesas. Duas etapas ativadas, família treinada contra golpe, CPF monitorado e patrimônio organizado.

Se esse vídeo te ajudou, compartilha com aquela pessoa que você ama.

E comenta aqui embaixo: você já recebeu ligação de golpista que sabia os seus dados? Conta a história, porque a sua experiência alerta outras pessoas.