Imagine descobrir que, enquanto você lê esta notícia, o número do seu CPF, sua data de nascimento e até mesmo informações de parentes falecidos estão circulando em fóruns clandestinos. É exatamente esse o cenário provocado pelo maior vazamento de dados da história do Brasil, a base batizada de MORGUE, agora ofertada por um hacker que atende pelo apelido de “Buddha”. O pacote inclui 251.720.444 cadastros ligados ao portal Gov.br — volume que supera em quase 30 milhões o megavazamento de 2021.
O que há no arquivo de 25 GB (e por que ultrapassa a população brasileira)
Embora o país tenha pouco mais de 203 milhões de habitantes, o CPF existe desde 1965. Isso significa que o banco MORGUE traz registros de pessoas vivas e mortas, algo confirmado pelos campos “status” e “data de óbito” presentes nos 25,1 GB de dados brutos. Na amostra gratuita de 20 mil linhas, analistas da Vecert identificaram:
- Número de CPF e nome completo;
- Data de nascimento, cidade e estado de origem;
- Raça/cor declarada;
- Status (vivo ou falecido) e data de óbito quando aplicável.
Em outras palavras, trata-se de um mapa detalhado da identidade do cidadão — ouro puro para golpes de engenharia social, clonagem de contas bancárias e fraudes de cartão de crédito.
Como e quando o ataque aconteceu
De acordo com o log deixado pelo invasor, a extração ocorreu em 15 de março de 2025, mas só agora veio a público. Especialistas apontam que o portal Gov.br concentra cadastros feitos por diversos órgãos — da Receita Federal ao INSS —, o que amplia a superfície de ataque. A Autoridade Nacional de Proteção de Dados (ANPD), criada para fiscalizar e punir incidentes do tipo, ainda não se pronunciou.
Por que isso importa para você (mesmo que ache que “não tem nada a esconder”)
Com informações como nome da mãe, data de emissão de documentos e endereço antigo, criminosos podem:
- Abrir contas digitais ou contratar chips de celular em seu nome;
- Facilitar a recuperação de senhas em bancos e e-commerce que usam perguntas de segurança previsíveis;
- Executar golpes de SIM Swap, recebendo os códigos de verificação enviados por SMS.
Para o gamer que compra hardware importado ou o criador de conteúdo que vive de plataformas online, a violação de uma conta PayPal ou Nubank pode significar a perda de renda ou de equipamentos caríssimos.
Imagem: William R
Reforçando suas defesas: práticas e gadgets que valem o investimento
Não existe bala de prata, mas algumas medidas reduzem drasticamente o risco de dor de cabeça:
- Ative a verificação em duas etapas (2FA) sempre que possível. Para contas críticas, prefira apps autenticadores ou chaves físicas de segurança U2F, como YubiKey, que funcionam em PCs e notebooks com porta USB-A ou USB-C.
- Use um gerenciador de senhas criptografado para evitar reaproveitar combinações fracas. Modelos de teclado mecânico com armazenamento interno de macros (por exemplo, o Keychron K Pro) não substituem um cofre de senhas, mas ajudam a inserir strings complexas com um toque.
- Mantenha o sistema operacional e a BIOS da sua placa-mãe atualizados; muitas placas ASUS, Gigabyte e MSI lançadas em 2024/2025 já recebem firmware com mitigação para ataques de DMA em portas USB.
E o que o governo vai fazer?
Até o fechamento desta matéria, nem o Governo Federal nem a ANPD confirmaram oficialmente a autenticidade do vazamento, tampouco divulgaram plano de contenção. Caso a comprovação seja pública, empresas que utilizam o CPF como chave de identificação terão de rever suas políticas de autenticação, possivelmente adotando biometria facial ou tokens físicos como padrão — um mercado que já movimenta milhões em hardware especializado.
Seja você entusiasta de hardware, profissional de TI ou apenas um usuário comum, a conclusão é inequívoca: proteger a própria identidade digital virou tarefa tão essencial quanto escolher a próxima placa de vídeo. E, ao contrário de um upgrade de GPU, a reposição da sua identidade não pode ser comprada em parcela no cartão.
Com informações de Hardware.com.br
