Base com CPFs, CNPJs e dados cadastrais de brasileiros teria sido colocada à venda por grupo cibercriminoso.
Um grupo cibercriminoso anunciou a venda de um suposto banco de dados atribuído à Receita Federal. O material teria informações de 248 milhões de brasileiros e cerca de 1,08 bilhão de registros. A Receita Federal informou que investiga o caso, portanto o incidente ainda deve ser tratado como suposto.
Um grupo cibercriminoso anunciou a venda de uma base com dados de 248 milhões de cidadãos brasileiros, afirmando que o material teria origem em sistemas da Receita Federal. A oferta reúne aproximadamente 1,08 bilhão de registros e circula em fóruns criminosos.
Entre os dados citados estão CPFs, CNPJs, endereços, telefones, e-mails e informações cadastrais. O TecMundo afirma ter analisado amostras compartilhadas pelos criminosos e encontrado indícios de autenticidade: CPFs e CNPJs com dígitos verificadores válidos e tabelas com estrutura compatível com a atribuída à Receita Federal. A Receita confirmou que investiga o caso, mas não há confirmação definitiva da origem até o momento da publicação.
De acordo com a alegação do grupo Buddha ao TecMundo, os dados teriam sido obtidos em 2026 por meio da exploração de um sistema legado da Receita Federal. O grupo afirmou ainda que o acesso à falha permaneceria ativo.
Essas afirmações partem exclusivamente dos criminosos responsáveis pelo anúncio. Até o momento descrito na reportagem, a Receita Federal comunicou apenas que está investigando. A leitura correta do cenário é esta: existe um anúncio de venda, existem amostras com indícios de autenticidade, mas a origem e a extensão real dos dados ainda dependem de confirmação oficial.
Quando informações cadastrais chegam a bases criminosas, o risco mais imediato para o cidadão é o uso desses dados em golpes de convencimento. O criminoso cita CPF, CNPJ, telefone, endereço ou e-mail para parecer confiável e pressiona por uma ação rápida — pagamento, clique em link ou envio de documentos.
Fique atento a situações como:
Como o caso ainda está sob apuração, a resposta mais eficaz é reduzir a superfície de exposição a fraudes. Não clique em links recebidos por mensagem, não envie documentos por canais não verificados e trate qualquer contato que use urgência como argumento com desconfiança redobrada.
Empresas devem orientar equipes de financeiro, atendimento e recursos humanos: dados de CNPJs e cadastros podem ser usados para golpes contra fornecedores, clientes e colaboradores. Revisar processos de validação é prioritário — uma informação cadastral correta não pode ser aceita como prova de identidade de quem está do outro lado da linha ou da tela.
Não há confirmação definitiva até o momento da publicação. A Receita Federal informou que investiga o caso, e as amostras analisadas pelo TecMundo apresentaram indícios de autenticidade, mas a origem oficial ainda aguarda conclusão da apuração.
A base anunciada incluiria CPFs, CNPJs, endereços, telefones, e-mails e dados cadastrais, totalizando cerca de 1,08 bilhão de registros, de acordo com a oferta do grupo criminoso.
Empresas precisam reforçar a validação de solicitações — especialmente em pagamentos, alterações cadastrais e contatos com fornecedores. Dados corretos não garantem que a pessoa do outro lado seja legítima, e equipes precisam saber disso antes de agir.
A LC SEC ajuda organizações a avaliar exposição de dados, fortalecer processos de resposta a incidentes e treinar equipes contra golpes que usam informações reais para enganar pessoas.
Conheca: Pentest, Threat Intelligence com IA, Conscientizacao de Seguranca, SGSI, Plano Diretor de Seguranca, Auditoria Interna, Governanca de MFA e Cofre TOTP, ISO 42001 - IA, Diagnostico Gratuito de Seguranca. lcsec.io