Criminosos vendem dados pessoais na dark web por valores que podem surpreender os usuários. Nome, data de nascimento, CPF, endereço, credenciais de acesso, cartões e contas de redes sociais aparecem em mercados clandestinos da internet, e os golpistas os usam em diferentes tipos de fraude. Uma pesquisa da NordVPN, que analisou quase 75 mil anúncios de dados roubados, mostra que os criminosos vendem algumas dessas informações por menos de R$ 100.
Quanto valem os dados pessoais na dark web?
O levantamento identificou preços medianos de US$ 13, cerca de R$ 67, para cartões de pagamento roubados; US$ 12, aproximadamente R$ 62, para perfis do Telegram; e menos de US$ 5, cerca de R$ 26, para contas de serviços de streaming, como Netflix. Perfis do TikTok aparecem por cerca de US$ 60, o equivalente a R$ 312, enquanto os chamados “fullz”, pacotes que reúnem informações pessoais utilizadas em fraudes de identidade, chegam a US$ 40, aproximadamente R$ 208.
Os valores, porém, variam de acordo com o tipo de informação e o potencial de utilização da conta. O estudo encontrou preços medianos muito mais elevados para determinadas contas financeiras comprometidas. Contas da Wise chegaram a US$ 899, aproximadamente R$ 4,7 mil, enquanto contas da Revolut ultrapassaram US$ 1.700, cerca de R$ 8,8 mil.
Para Afonso Morais, advogado especializado em fraudes digitais e sócio da Pardi e Morais Advogados, o principal alerta da pesquisa não está apenas no preço atribuído a cada informação, mas na possibilidade de o criminoso combinar diferentes dados para viabilizar golpes mais sofisticados.
“Quando se fala em dados roubados, muitas pessoas pensam imediatamente em cartão, senha ou conta bancária. Mas o criminoso também pode ter interesse em uma conta de e-mail, em um perfil de rede social ou em informações pessoais aparentemente banais. O problema está justamente na possibilidade de combinar esses dados para construir uma fraude mais complexa”, afirma.
O que é a dark web e por que os dados pessoais são vendidos?
A dark web é uma parte da internet que os buscadores tradicionais não indexam e que só se acessa com redes e ferramentas específicas. Embora existam usos legítimos, criminosos também a usam para atividades ilícitas, entre elas o comércio de credenciais, dados pessoais e informações obtidas em vazamentos.
A pesquisa da NordVPN analisou anúncios encontrados em mercados clandestinos e identificou diferentes categorias de informações disponíveis para comercialização. Entre elas estão contas de entretenimento, perfis de redes sociais, cartões de pagamento e contas financeiras.
O preço de um dado roubado, no entanto, não representa necessariamente o prejuízo que ele pode provocar. O golpista pode usar uma conta comprada por poucos reais como ponto de partida para tentar acessar outros serviços, aplicar golpes de engenharia social ou recuperar senhas de outras plataformas.
“Uma conta aparentemente sem grande importância pode funcionar como uma porta de entrada. Se a pessoa usa a mesma senha em outros serviços, por exemplo, o comprometimento de uma plataforma pode facilitar novas tentativas de acesso. Por isso, segurança digital não deve ficar restrita ao aplicativo do banco”, explica Morais.
Quais dados pessoais os brasileiros mais compartilham?
O risco de exposição também está relacionado à quantidade de informações que os próprios usuários disponibilizam na internet. Uma pesquisa da NordVPN com 1.003 brasileiros entre 18 e 74 anos mostrou que:
- 82% já compartilharam o nome completo na internet;
- 78% já divulgaram a data de nascimento;
- 63% informaram o endereço residencial completo;
- 51% já expuseram o CPF;
- 21% compartilharam dados bancários.
O levantamento também identificou que 37% dos brasileiros temem que seus dados pessoais estejam circulando pela internet sem conhecimento ou autorização. Além disso, 21% afirmaram ter se arrependido de compartilhar informações pessoais, percentual apontado pela pesquisa como quase o dobro da média global.
Os números mostram que a proteção de dados começa antes mesmo de ocorrer um vazamento. Quanto maior a quantidade de informações pessoais disponível publicamente, maior pode ser a capacidade de um criminoso construir uma abordagem direcionada.
Por que nome, CPF e data de nascimento podem ser usados em golpes?
Informações pessoais não precisam, isoladamente, permitir uma fraude para serem valiosas. O risco aumenta quando o criminoso reúne diferentes dados.
Nome completo, data de nascimento, endereço, telefone e CPF, por exemplo, podem fornecer elementos para que o criminoso construa uma abordagem mais convincente. É uma estratégia associada à chamada engenharia social, na qual o golpista usa informações verdadeiras para criar uma situação falsa e induzir a vítima a realizar determinada ação.
“Quanto mais informações o fraudador consegue reunir sobre uma pessoa, mais convincente pode se tornar a abordagem. Ele pode conhecer o nome, saber onde a vítima mora, identificar familiares ou descobrir quais serviços utiliza. Isso pode reduzir a desconfiança e aumentar a capacidade de manipulação”, afirma Morais.
Por isso, proteger dados pessoais não significa necessariamente deixar de utilizar a internet ou eliminar todas as informações disponíveis online. O objetivo é reduzir a exposição desnecessária e controlar melhor quem tem acesso a cada informação.
Como proteger seus dados pessoais da dark web e de golpes?
Algumas medidas simples podem reduzir a exposição e dificultar o acesso indevido às contas.
1. Ative a autenticação em dois fatores
A autenticação em dois fatores adiciona uma camada de proteção além da senha. Sempre que possível, ative esse recurso principalmente no e-mail, nas redes sociais, nos aplicativos de mensagens e nos serviços financeiros.
2. Use senhas diferentes
Utilizar a mesma senha em vários sites aumenta o impacto de um eventual vazamento. Se uma credencial for descoberta, o criminoso poderá tentar utilizá-la em outras plataformas. Um gerenciador de senhas pode ajudar a criar e armazenar senhas únicas para diferentes serviços.
3. Pense antes de fornecer o CPF
O CPF é um dado pessoal e não deve ser informado automaticamente em qualquer cadastro. Antes de fornecê-lo, é importante verificar por que a informação está sendo solicitada, quem terá acesso a ela e se realmente existe necessidade de compartilhamento.
4. Cuidado com links recebidos por mensagem
Links enviados por WhatsApp, Telegram, SMS, e-mail ou redes sociais podem levar a páginas falsas criadas para capturar senhas e outras informações. Na dúvida, o mais seguro é acessar diretamente o site ou aplicativo oficial da empresa, sem utilizar o link recebido.
5. Revise as configurações de privacidade
Redes sociais permitem controlar quem pode visualizar diferentes informações do perfil. Fazer uma revisão periódica pode reduzir a quantidade de dados disponíveis publicamente. Também vale verificar quais aplicativos e serviços têm autorização para acessar suas contas.
6. Monitore possíveis vazamentos
Existem serviços especializados que permitem verificar se determinados endereços de e-mail apareceram em bases de dados comprometidas. Uma das ferramentas conhecidas para essa finalidade é o Have I Been Pwned. Faça a consulta diretamente em serviços confiáveis, sem fornecer informações adicionais a sites desconhecidos.
O que fazer se seus dados pessoais vazarem na dark web?
A descoberta de que uma informação apareceu em um vazamento não significa necessariamente que uma fraude ocorrerá. É, porém, um sinal para reforçar a segurança das contas relacionadas.
Se uma senha estiver envolvida, troque-a, principalmente em qualquer outro serviço que utilize a mesma credencial. Também é recomendável ativar a autenticação em dois fatores e verificar atividades ou acessos desconhecidos.
Quando houver indícios de fraude efetiva, como contratação não reconhecida, movimentação financeira indevida ou invasão de conta, a orientação é preservar as evidências e comunicar rapidamente as instituições envolvidas.
“Se a pessoa perceber que foi vítima, não deve simplesmente apagar as mensagens ou bloquear o contato e considerar o problema encerrado. É importante preservar provas, registrar o que aconteceu, comunicar as instituições envolvidas e avaliar quais medidas podem ser tomadas para reduzir os danos”, orienta Morais.
Como a LGPD protege os dados pessoais?
A Lei Geral de Proteção de Dados (LGPD) estabelece regras para o tratamento de dados pessoais no Brasil e determina que empresas e demais agentes de tratamento adotem medidas de segurança para proteger essas informações contra acessos não autorizados e situações acidentais ou ilícitas.
Isso não significa que todo vazamento resulte automaticamente em indenização ou responsabilização. A análise depende das circunstâncias do caso, da existência de falha, dos danos eventualmente causados e de outros requisitos previstos na legislação.
Para Morais, é importante diferenciar a responsabilidade do titular dos dados daquela atribuída às empresas que realizam o tratamento das informações. “O fato de uma pessoa ter fornecido um dado não significa que uma empresa possa tratá-lo de qualquer maneira. Quem coleta e armazena informações pessoais também tem obrigações de segurança e proteção previstas na legislação. Eventual responsabilidade precisa ser analisada caso a caso”, explica.
Dados pessoais na dark web: o risco está na combinação
Os preços identificados pela pesquisa da NordVPN mostram que uma informação pessoal pode ter valor comercial mesmo quando não envolve diretamente uma conta bancária. Mais importante do que o preço individual, entretanto, é compreender que diferentes dados podem ser reunidos para aumentar o potencial de uma fraude.
Uma conta de e-mail pode estar associada à recuperação de outras senhas. Um perfil de rede social pode revelar informações sobre familiares e rotina. Um golpista pode combinar o CPF com outros dados pessoais. Uma senha reutilizada pode abrir caminho para diferentes serviços.
É essa combinação que transforma um vazamento de dados em um problema que pode ultrapassar a questão da privacidade. “Não é possível eliminar completamente o risco de exposição, mas é possível reduzir muito as oportunidades para o criminoso. O usuário precisa entender que seus dados formam um conjunto. Quanto mais informações estiverem disponíveis e quanto menos protegidas estiverem as contas, maior será a possibilidade de utilização dessas informações em uma fraude”, destaca Morais.
A proteção, portanto, começa antes de qualquer informação aparecer na dark web: menos exposição desnecessária, senhas únicas, autenticação em dois fatores e atenção aos canais utilizados para compartilhar dados pessoais são medidas básicas para aumentar a segurança digital.
Se você passou por uma situação parecida, veja como atuamos em conta hackeada e perfil falso ou fale com o escritório pelo WhatsApp.
Este artigo também está no portal Falando de Fraudes, iniciativa da Pardi e Morais com alertas diários sobre golpes.
