Vazamento de dados da Serasa Experian Brasil (2020)

As categorias de dados verificadas são nomes, datas de nascimento, gênero e números de identificação emitidos pelo governo. No contexto brasileiro, números de identificação como o CPF são os dados mais críticos, pois funcionam como o principal identificador de uma pessoa em transações financeiras, administrativas e digitais. Combinados com nome, data de nascimento e gênero, esses dados permitem montar um perfil detalhado para verificações de identidade, fraudes e solicitações falsas. Mesmo que a presença de senhas ou dados de cartões de pagamento não tenha sido verificada, essas informações de identificação representam um risco de longo prazo, pois não mudam ao longo dos anos.

Vazamentos que contêm números de identificação são diferentes dos vazamentos tradicionais de senhas de contas. Senhas podem ser alteradas, mas números de identificação e datas de nascimento são permanentes para a maioria das pessoas. Essas informações podem ser usadas em ataques como solicitações fraudulentas de crédito, abertura de contas, fraudes financeiras, engenharia social, falsas ligações de atendimento ao cliente e tentativas de se passar por instituições oficiais. Além disso, quando combinadas com outros conjuntos de dados, informações como nome, data de nascimento e gênero aumentam a possibilidade de associar uma pessoa a dados de endereço, telefone, renda ou perfil em redes sociais. Portanto, o registro da Serasa Experian Brasil de 2020 envolve riscos relacionados a dados pessoais sensíveis, mesmo que não contenha senhas.

O escopo verificado neste registro corresponde a 223.739.215 pessoas. A data dos dados foi considerada como o fim de 2020, e janeiro de 2021 foi considerado o momento em que o incidente veio a público. Os principais campos verificados são nome, data de nascimento, gênero e número de identificação. Algumas notícias e análises de pesquisas mencionaram endereço, telefone, pontuação de crédito, renda, informações de veículos e outros dados pessoais; no entanto, esta lista de categorias de dados inclui apenas os campos que podem ser verificados no âmbito deste registro. Essa abordagem foi uma escolha deliberada para evitar apresentar a você dados não verificados como se fossem confirmados.

Os limites da atribuição da origem também devem ficar explícitos. O conjunto de dados circulou sob o nome da Serasa Experian, e muitos observadores apontaram para essa instituição devido à natureza dos dados. Ainda assim, não foi confirmado que os sistemas da empresa tenham sido comprometidos nem que os dados tenham vindo diretamente de seu banco de dados. Portanto, o campo de origem deve indicar que se trata de um registro de vazamento não verificado. Para você, essa distinção não significa que o risco seja baixo. Em casos que envolvem informações permanentes, como números de identificação e datas de nascimento, a incerteza sobre a origem não justifica adiar medidas de proteção.

O grupo de maior risco inclui pessoas no Brasil que possuem número de identificação, perfil de crédito ou cadastro de consumidor. Há relatos de que o conjunto de dados possa conter registros tanto de pessoas falecidas quanto de pessoas vivas; isso pode aumentar os riscos de fraudes relacionadas a heranças, familiares, linhas telefônicas e operações financeiras. Como o número de identificação e a data de nascimento ainda podem ser solicitados como identificadores auxiliares em ligações para canais de atendimento ou em processos de verificação on-line, essas informações podem favorecer quem realiza o ataque. Solicitações falsas em nome de uma pessoa, notificações falsas de dívidas ou mensagens que se passam por instituições oficiais podem se tornar mais convincentes.

O segundo grupo de risco é formado por pessoas cujos dados de identificação podem ser associados a outros conjuntos de dados por meio de e-mail, telefone ou endereço. Mesmo que e-mail ou telefone não sejam mantidos como categorias de dados confirmadas neste conjunto, um perfil mais amplo pode surgir quando nome e número de identificação são combinados com outros vazamentos. Por isso, quem usa serviços financeiros, solicita crédito, possui uma linha de celular ou utiliza serviços públicos deve ter cuidado. Além disso, mensagens sobre pagamentos, dívidas, encomendas, saúde ou notificações oficiais, enviadas em nome de familiares, também podem tentar parecer confiáveis usando dados de identificação como respaldo.

O primeiro passo é redobrar a atenção a mensagens inesperadas que contenham números de identificação e informações pessoais. Você não deve confiar de imediato em mensagens sobre crédito, dívidas, pagamentos, auxílios governamentais, impostos, bancos, linhas telefônicas ou documentos oficiais. O simples fato de o nome, a data de nascimento ou o número de identificação na mensagem estar correto não comprova sua confiabilidade. Solicitações feitas em nome de instituições financeiras, operadoras de telecomunicações ou órgãos públicos devem ser verificadas por um canal independente, usando o site oficial ou uma central de atendimento cuja autenticidade tenha sido confirmada.

O segundo passo é acompanhar regularmente suas atividades financeiras e administrativas. Monitore solicitações de crédito, notificações bancárias, operações relacionadas a linhas telefônicas e alertas de instituições oficiais. Se perceber uma solicitação ou transação suspeita, entre em contato rapidamente com a instituição responsável e, se possível, inicie um processo formal de contestação. Não compartilhe por telefone informações como números de identificação, datas de nascimento ou dados de familiares. Ao mesmo tempo, reforce a segurança de suas contas de e-mail e linhas de celular e ative a autenticação multifator nas contas importantes que ofereçam esse recurso.

Uma estratégia de longo prazo para esse tipo de vazamento de dados de identificação vai além da troca de senhas. Revise regularmente suas transações financeiras, solicitações de crédito e processos de verificação de identidade. Use senhas fortes, autenticação multifator e notificações de transações nas contas bancárias e de telecomunicações. Evite usar informações imutáveis, como números de identificação ou datas de nascimento, como elementos de segurança em perguntas de recuperação de conta. Sempre que possível, use senhas adicionais, chaves de segurança ou autenticação por aplicativo.

Para as instituições, a lição é mais clara: conjuntos de dados que contêm informações de identificação devem ser protegidos pelo princípio do acesso mínimo necessário, o prazo de retenção dos dados deve ser reduzido e cópias desnecessárias devem ser eliminadas. Nas relações com fornecedores e intermediários de dados, é necessário auditar regularmente quais informações estão armazenadas, onde, por quanto tempo e quem teve acesso a elas. Você, por sua vez, deve questionar o compartilhamento de dados em cada novo serviço que solicite suas informações pessoais, evitar preencher campos desnecessários e manter as notificações ativadas sempre que possível. A redução dos riscos associados a dados de identificação permanentes exige atenção constante e monitoramento regular.

A consulta ao registro Serasa Experian Brasil 2020 no LeakData ajuda você a entender se suas informações estão vinculadas a esse vazamento de dados. Se o resultado for positivo, comece monitorando com mais frequência as transações financeiras e administrativas relacionadas ao seu número de identificação. Não clique em links de mensagens inesperadas sobre crédito, dívidas, linhas telefônicas, impostos, entregas ou contas de serviços essenciais; verifique a solicitação por um canal independente e confiável. Não compartilhe suas informações pessoais por telefone ou em mensagens. Use senhas fortes e autenticação multifator em suas contas bancárias, de e-mail e de serviços móveis.

Como esse vazamento não envolveu senhas, apenas trocar a senha não é uma resposta adequada. O principal risco é que os dados de identificação possam ser usados em fraudes e engenharia social por muito tempo. Informações como nome, data de nascimento, gênero e número de identificação podem ser usadas em solicitações falsas ou tentativas de se passar por outra pessoa mesmo anos depois. Portanto, manter as notificações financeiras ativadas, comunicar rapidamente transações suspeitas, ter cautela com mensagens que se passam por instituições oficiais e reduzir o compartilhamento de dados pessoais são as bases da proteção de longo prazo.