Vazamento de dados: como saber se seus dados vazaram e o que fazer

Vazamento de dados é a exposição de informações pessoais, como e-mail, senha, CPF ou dados bancários, para quem não deveria ter acesso a elas. Para saber se seus dados vazaram, consulte o Have I Been Pwned para e-mails e senhas, confira no Registrato, do Banco Central, se há contas, chaves Pix ou empréstimos que você não reconhece, e fique atento aos avisos oficiais das empresas. Se vazou, troque as senhas afetadas, ative a verificação em duas etapas e desconfie de qualquer contato que use seus dados para parecer legítimo.

O que é vazamento de dados

Na linguagem da Lei Geral de Proteção de Dados (LGPD), um vazamento é um tipo de incidente de segurança com dados pessoais: qualquer acesso, divulgação ou perda não autorizada de informações ligadas a uma pessoa. Pode acontecer por ataque, como no ransomware com roubo de dados, por erro de configuração, como um banco de dados aberto na internet, ou por alguém de dentro que copia o que não devia.

Um exemplo oficial recente ajuda a entender a dimensão. Em 2026, o Banco Central comunicou um incidente em que um terceiro não autorizado obteve, entre 30 de agosto de 2025 e 27 de fevereiro de 2026, dados ligados a chaves Pix que estavam sob a guarda de uma financeira. Foram expostos nome, CPF, instituição, agência, número e tipo da conta e datas de abertura da conta e de criação da chave. Senhas, saldos e movimentações não foram acessados.

Esse detalhe importa. Dados cadastrais vazados não permitem, sozinhos, mexer na sua conta, como o próprio Banco Central ressaltou. O risco está no que vem depois: com nome, CPF e o banco certo em mãos, o golpista liga ou manda mensagem parecendo ser da sua instituição, e é aí que muita gente entrega o que faltava.

O que os criminosos fazem com dados vazados

Dados vazados viram mercadoria. São reunidos em grandes listas, cruzados com outros vazamentos e vendidos ou trocados em fóruns. Cada tipo de dado abre uma frente diferente de ataque:

O primeiro caso, o reaproveitamento de senhas vazadas, tem nome: credential stuffing. Ele só funciona porque muita gente repete a mesma senha em vários serviços, e o guia sobre como criar senhas seguras explica como quebrar esse ciclo.

Como saber se seus dados vazaram

Não existe um lugar único que responda a essa pergunta. O caminho é combinar algumas consultas, cada uma para um tipo de dado.

E-mail e senhas: Have I Been Pwned

O Have I Been Pwned é um serviço gratuito e conhecido mundialmente que reúne bases de vazamentos públicos. Em novembro de 2026, ele listava mais de 17,8 bilhões de contas expostas em 1.049 sites. Você digita o e-mail e vê em quais vazamentos ele aparece e que tipo de dado foi exposto em cada um. A opção de aviso por e-mail manda um alerta quando o endereço surgir em um vazamento novo. Gerenciadores de senhas com verificação de vazamentos fazem algo parecido com as senhas guardadas e avisam quando alguma aparece em listas conhecidas.

CPF, contas e chaves Pix: Registrato

O Registrato é o sistema do Banco Central onde você consulta relatórios sobre o seu CPF, como os de chaves Pix, de contas e relacionamentos com instituições financeiras e de empréstimos e financiamentos. O relatório de chaves Pix é gratuito e mostra as chaves ativas no seu nome. Se aparecer uma chave, uma conta ou um empréstimo que você não abriu, é sinal de uso indevido dos seus dados. O acesso exige conta gov.br nível prata ou ouro com verificação em duas etapas ativada.

Outros sinais de alerta

• Avisos oficiais. Empresas que sofrem incidente com risco relevante precisam avisar os titulares. O Banco Central publica comunicados quando há incidentes com dados de chaves Pix.
• Crédito e consignado. Queda inesperada no score ou consultas desconhecidas nos birôs de crédito podem indicar fraude. Aposentados e pensionistas podem bloquear o benefício para empréstimo consignado pelo Meu INSS; o bloqueio pelo app vale na hora.
• Mensagens estranhamente bem informadas. Se alguém liga sabendo seu nome completo, banco e parte do CPF, trate isso como indício de vazamento, não como prova de que a ligação é legítima.

Meus dados vazaram: o que fazer agora

A reação certa depende do que foi exposto. O diagrama resume a primeira providência para cada caso.

1. Confirme com a fonte. A ANPD orienta procurar a empresa responsável pelos dados para saber se você foi afetado e quais informações foram expostas. Use o canal oficial do site ou do app, nunca o contato que veio numa mensagem.
2. Troque as senhas. Comece pelo serviço afetado e siga para todos os outros onde a mesma senha, ou uma parecida, era usada. E-mail principal primeiro: quem controla seu e-mail consegue redefinir as outras contas.
3. Ative a verificação em duas etapas. Com um segundo fator, uma senha vazada sozinha não abre a conta. O artigo sobre autenticação de dois fatores mostra por que o app autenticador é mais seguro que o SMS.
4. Revise extratos, faturas e o Registrato. Procure compras, contas, chaves Pix ou empréstimos que você não reconhece e conteste com a instituição.
5. Avise quem está perto. Golpistas usam dados vazados para enganar parentes, como no golpe do falso filho que trocou de número.
6. Registre o que aconteceu. Se houver uso indevido, faça boletim de ocorrência e guarde protocolos. Se a empresa não responder, você pode enviar uma petição à ANPD com o comprovante do contato anterior.

Os golpes que vêm depois do vazamento

O vazamento em si costuma ser silencioso. O barulho vem semanas ou meses depois, quando os dados são usados em golpes de engenharia social, aqueles que exploram a confiança e a pressa da vítima. Três padrões aparecem com frequência:

• Falsa central bem informada. O criminoso liga dizendo ser do seu banco, cita nome, CPF e agência e avisa sobre uma compra suspeita. Ao comunicar o incidente de 2026, o Banco Central reforçou que nem ele nem as instituições do Pix enviariam comunicações adicionais sobre o caso por aplicativos de mensagens, ligações, SMS ou e-mail.
• Indenização que não existe. Em fevereiro de 2025, a ANPD alertou para uma notícia falsa que prometia indenização do governo a ex-beneficiários do Auxílio Brasil por um suposto vazamento do CadÚnico. Golpes desse tipo pedem dados ou uma taxa para liberar um dinheiro inexistente.
• Confirmação de cadastro. Mensagens que pedem para atualizar dados ou confirmar uma chave Pix por um link. O objetivo é completar o que o vazamento não trouxe, como senha e código de verificação.

Os sinais de alerta e o passo a passo para pedir a devolução de um Pix estão no guia sobre golpes digitais e phishing.

Quando o vazamento é na sua empresa

Do outro lado, para quem guarda dados de clientes e funcionários, o vazamento é um incidente com prazo. As regras estão no art. 48 da LGPD e no Regulamento de Comunicação de Incidente de Segurança, aprovado pela Resolução CD/ANPD nº 15/2024.

• Quando comunicar. Quando o incidente pode causar risco ou dano relevante aos titulares. O regulamento lista critérios que pesam nessa avaliação: dados sensíveis, dados de crianças, adolescentes ou idosos, dados financeiros, dados de autenticação em sistemas, dados protegidos por sigilo e dados em larga escala.
• Prazo. Três dias úteis para a ANPD e, separadamente, para os titulares, contados de quando o controlador soube que o incidente afetou dados pessoais. Agentes de pequeno porte têm o prazo em dobro. A comunicação à ANPD pode ser complementada, de forma fundamentada, em até 20 dias úteis.
• Como avisar os titulares. Em linguagem simples e, sempre que possível, de forma direta e individual, dizendo que dados foram afetados, os riscos, as medidas tomadas, a data em que o incidente foi descoberto e um contato para dúvidas.
• Registro. Todo incidente deve ser registrado e guardado por no mínimo cinco anos, inclusive os que não precisaram ser comunicados.

Um aviso genérico no site não basta. Em julho de 2026, a ANPD abriu processo sancionador contra uma organização de saúde que, depois de um ataque de ransomware, só publicou um aviso na página, sem comunicar individualmente os pacientes afetados. Para organizar a resposta técnica, veja o plano de resposta a incidentes no guia de segurança cibernética para empresas. A visão completa das obrigações está no guia de LGPD para empresas. Este conteúdo é informativo e não substitui a análise jurídica de cada caso.

Como reduzir o impacto do próximo vazamento

Ninguém controla a segurança das empresas que guardam seus dados. Dá, porém, para diminuir o que um vazamento consegue fazer com você:

• Senha única em cada serviço. É o que impede que um vazamento em um site pequeno vire a invasão do seu e-mail ou banco.
• Segundo fator em tudo que importa. E-mail, banco, redes sociais, gov.br e lojas com cartão salvo.
• Cartão virtual para compras online. Se o número vazar, basta apagar e gerar outro.
• Menos dados por aí. Informe só o necessário em cadastros e apague contas que você não usa mais.
• Consulta periódica. Uma olhada no Registrato e no Have I Been Pwned a cada poucos meses detecta problemas cedo.

Para colocar os dois primeiros itens em prática, o TKI Pass é um app gratuito da TKI que reúne autenticador de dois fatores e cofre de senhas, com gerador de senhas e alerta de senhas fracas, repetidas ou vazadas. Tudo é cifrado no próprio aparelho, e ele funciona em iPhone, iPad, Mac, Apple Watch e navegador.

Perguntas frequentes

Como saber se meus dados vazaram?

Para e-mail e senhas, consulte o Have I Been Pwned, que lista mais de 17 bilhões de contas expostas, e use um gerenciador de senhas com alerta de vazamento. Para CPF, confira no Registrato, do Banco Central, se há contas, chaves Pix ou empréstimos que você não reconhece. Avisos oficiais de empresas e do Banco Central também indicam incidentes.

Meus dados vazaram. O que devo fazer primeiro?

Troque a senha do serviço afetado e de qualquer outro onde ela se repetia, ative a verificação em duas etapas, revise extratos e faturas e redobre a atenção com ligações e mensagens que citem seus dados. Se houver uso indevido, registre boletim de ocorrência.

É seguro usar sites que dizem consultar se meu CPF vazou?

A ANPD desaconselha sites suspeitos que prometem fazer essa verificação, porque costumam pedir dados pessoais e podem ampliar a exposição. Prefira os canais oficiais, como o Registrato, e o contato direto com a empresa envolvida.

Tenho direito a indenização por vazamento de dados?

A LGPD prevê que quem causa dano ao tratar dados pessoais de forma irregular deve repará-lo, mas isso depende de cada caso e, em geral, de ação judicial. Desconfie de mensagens que oferecem indenização automática: a ANPD já alertou para notícia falsa desse tipo em 2025.

Em quanto tempo a empresa precisa avisar sobre um vazamento?

Pela Resolução CD/ANPD nº 15/2024, quando o incidente pode gerar risco ou dano relevante, o controlador deve comunicar a ANPD e os titulares em três dias úteis, contados de quando soube que dados pessoais foram afetados. Agentes de pequeno porte têm o prazo em dobro.