Seus dados vazaram: os passos das primeiras 48 horas

Vazamento não é prova de que usaram seus dados

Vazamento e fraude são etapas diferentes. No vazamento, uma empresa perdeu o controle de informações que estavam com ela. Na fraude, alguém usou essas informações para abrir uma conta, pedir um empréstimo ou montar uma mensagem convincente. O primeiro acontece longe de você e pode nunca virar o segundo.

Essa diferença importa porque muda a resposta. Se você tratar todo vazamento como fraude consumada, vai cancelar cartões que ninguém tocou e contratar serviços que não resolvem nada. Se tratar como se não fosse nada, vai perder a janela em que uma troca de senha ainda impede o problema.

O meio termo é simples: responda ao que vazou. Senha vazada pede troca de senha. Dado bancário pede aviso ao banco. CPF e endereço pedem atenção ao que chega nas semanas seguintes e checagem periódica do seu nome.

Como ler o aviso de vazamento

O aviso não é gentileza da empresa: é obrigação. O artigo 48 da Lei Geral de Proteção de Dados determina que a empresa comunique a autoridade nacional e a pessoa afetada quando ocorre incidente de segurança que possa trazer risco ou dano relevante. A mesma lei diz o que a comunicação precisa trazer, no mínimo: a natureza dos dados afetados, informações sobre as pessoas envolvidas, os riscos do incidente, as medidas de segurança usadas e o que será feito para reduzir o prejuízo.

O prazo está no regulamento da Autoridade Nacional de Proteção de Dados. Pela Resolução CD/ANPD nº 15, de 24 de abril de 2024, a comunicação à ANPD deve ser feita em três dias úteis, e a comunicação à pessoa afetada também em três dias úteis.

Ao abrir o aviso, procure quatro coisas:

• Quais dados foram afetados. É a informação que decide todo o resto. Se o aviso é vago, peça à empresa a lista específica: é um direito seu.
• Quando aconteceu e quando descobriram. A distância entre as duas datas diz quanto tempo os dados circularam antes de alguém saber.
• O que a empresa já fez. Senhas invalidadas, acessos derrubados, sistemas corrigidos.
• Como falar com a empresa. Guarde o canal oficial que consta do aviso e use só ele.

E um cuidado antes de tudo isso: aviso de vazamento também é imitado. Se a mensagem chegou por e-mail ou SMS com um link, não use o link. Procure o comunicado no site oficial da empresa, digitando o endereço você mesmo, ou ligue para o telefone que já estava no seu contrato. O passo a passo para esse tipo de checagem está em como verificar se um link é seguro.

As primeiras 48 horas, qualquer que seja o dado

Independentemente do que vazou, há quatro providências que fazem sentido sempre e não custam nada.

• Troque a senha da conta afetada e de qualquer outro serviço onde você usava a mesma senha. Comece pelo e-mail principal, porque é ele que recupera o acesso de quase tudo.
• Ative a verificação em duas etapas no e-mail, no banco, nas redes sociais e na conta gov.br. É a medida que mais protege quando a senha já está com outra pessoa. O caminho em cada aplicativo está em verificação em duas etapas.
• Pare de repetir senha. Se a mesma senha estava em vários lugares, um vazamento vira dez problemas. Um gerenciador de senhas resolve isso sem exigir que você decore nada.
• Guarde o aviso. Salve o comunicado, a data e o canal. Se mais adiante alguém abrir algo em seu nome, esse documento ajuda a mostrar de onde os dados podem ter saído.

Cancelar cartão, trocar de número de telefone ou fechar conta bancária não são medidas automáticas. Elas fazem sentido quando o dado específico vazou, e é disso que trata a seção seguinte.

O que fazer conforme o que vazou

Senha

Troque a senha daquele serviço e de todos os outros que usavam a mesma. Encerre as sessões abertas, quando o serviço permitir, e ative a verificação em duas etapas.

E-mail e telefone

Espere aumento de mensagens e ligações, algumas citando corretamente onde você é cliente. Não bloqueie a vida inteira por isso: apenas trate qualquer contato que peça dado, código ou pagamento como não verificado até você mesmo ligar para o canal oficial.

CPF, nome completo e data de nascimento

Esse conjunto é o que permite tentar uma contratação em seu nome. Não há como recolher o dado de volta, então a resposta é acompanhamento: confira periodicamente suas dívidas e contas pelos relatórios gratuitos do Banco Central, descritos mais abaixo, e consulte seu CPF nos birôs de crédito.

Dados bancários ou de cartão

Avise o banco ou a administradora pelo número do verso do cartão e peça orientação. Costuma ser o caso de substituir o cartão. Para compras na internet, o cartão virtual reduz o estrago de um número exposto.

Documento com foto

É o dado mais difícil, porque documento não se troca com facilidade. Guarde o aviso, acompanhe seu nome nos cadastros e, se aparecer contratação que não é sua, registre boletim de ocorrência e siga os passos de como denunciar o uso indevido dos seus dados.

Endereço

Costuma ser usado para dar credibilidade a uma conversa, não para aparecer na sua porta. Também vale atenção a encomenda que você não pediu, porque isso pode indicar compra feita em seu nome.

Dados de saúde

Entre em contato com a operadora ou a clínica pelo canal oficial e pergunte o que foi afetado e o que foi feito. Dado de saúde tem proteção reforçada na LGPD, e você pode exigir explicação detalhada.

A segunda onda: as mensagens que usam o próprio vazamento

Depois de um vazamento grande, costuma vir uma leva de contatos que usa o vazamento como assunto. São três formatos principais.

• Falso aviso da empresa. Um e-mail parecido com o comunicado real, com botão para verificar se você foi afetado. O botão leva a uma página que pede login, e é assim que a senha que ainda estava segura é entregue.
• Falso atendimento. Uma ligação de alguém que diz ser do banco ou da empresa, cita corretamente o vazamento e pede que você transfira o dinheiro para uma conta segura ou informe um código. A Febraban descreve esse formato e a orientação oficial é direta: desligue e ligue você mesmo para o número do verso do cartão, de preferência de outro telefone.
• Falsa ajuda jurídica. Alguém oferece incluir você em uma ação de indenização pelo vazamento, cobrando uma taxa adiantada. É o mesmo desenho do golpe da taxa antecipada.

O que faz essas mensagens funcionarem não é distração de quem recebe: é o fato de que elas chegam com informação verdadeira. Saber o nome do banco, o valor da última fatura ou a data de uma compra não prova nada sobre quem está falando. A régua continua sendo a mesma: encerre o contato e procure o canal oficial por conta própria. Os formatos estão detalhados em vishing e em phishing.

O monitoramento grátis que a empresa oferece

Depois de um vazamento, é comum a empresa oferecer alguns meses de monitoramento de crédito sem custo. Vale aceitar, com a expectativa certa.

O que esse tipo de serviço faz é avisar quando aparece uma consulta ou um registro novo ligado ao seu CPF. Isso ajuda a perceber cedo uma contratação que não é sua. O que ele não faz é impedir a contratação, apagar o dado que vazou ou resolver a disputa depois. O aviso chega depois do fato, e a limpeza do nome continua sendo trabalho seu, pelos canais do artigo sobre uso indevido dos seus dados.

Antes de renovar um serviço pago desse tipo, vale comparar com o que já é gratuito e permanente: os relatórios do Banco Central e a consulta nos birôs. A comparação entre o que funciona e o que é só venda está em proteção contra roubo de identidade.

O que acompanhar nos meses seguintes

A maior parte dos problemas causados por vazamento aparece semanas ou meses depois. Três consultas gratuitas cobrem quase tudo e podem virar rotina trimestral.

• Dívidas com bancos e financeiras. O relatório do Sistema de Informações de Crédito mostra todas as suas dívidas com bancos e financeiras. É gratuito, sai na hora pela web e exige conta gov.br nível prata ou ouro.
• Contas abertas em seu nome. O relatório de contas mostra em quais bancos e instituições você tem ou teve conta ou outro relacionamento, com data de início e de fim. Também gratuito.
• Chaves Pix. O relatório de chaves Pix mostra as chaves cadastradas e a situação de cada uma, e revela chave registrada indevidamente.

Some a consulta gratuita do CPF nos aplicativos dos birôs de crédito, e a consulta gratuita à situação cadastral do CPF na Receita Federal. Como transformar isso em hábito está em como monitorar seu CPF.

Quando o vazamento vira caso de denúncia

Enquanto for só exposição, o caminho é acompanhamento. Quando aparece uso concreto dos dados, muda.

• Apareceu dívida, conta ou contrato que não é seu. Registre boletim de ocorrência pela Delegacia Virtual do gov.br ou pela delegacia eletrônica do seu estado, e siga a ordem de contestação do artigo sobre uso indevido dos seus dados.
• A empresa não explica o que vazou. Peça formalmente a ela a confirmação do tratamento, o acesso aos seus dados e a correção ou eliminação do que for indevido. São direitos do artigo 18 da LGPD. A ANPD informa, na página sobre os direitos dos titulares, que pedidos sobre a origem dos dados, a inexistência de registro, os critérios utilizados e a finalidade devem ser atendidos em até 15 dias.
• A empresa não respondeu ou respondeu sem resolver. Dá para abrir requerimento na ANPD. A petição de titular exige comprovação do contato prévio com a empresa, e o prazo estimado do serviço é de até 30 dias úteis. A ANPD também recebe denúncia de infração à lei, que pode ser feita por qualquer pessoa.
• Houve prejuízo de consumo. Registre no consumidor.gov.br, onde a empresa cadastrada tem até 10 dias para responder, e no Procon do seu estado.

Vale saber o limite de cada um. Os canais administrativos apuram, cobram resposta e podem punir a empresa; pedido de indenização é assunto da Justiça. E nada disso é medido pela sua atenção: dados vazam dentro de empresas, longe do seu alcance, e a responsabilidade por usá-los é inteira de quem faz isso.

Perguntas frequentes