Em 2021, uma base de dados com mais de 220 milhões de CPFs — incluindo de pessoas já falecidas — foi identificada à venda por pesquisadores de segurança, num dos maiores vazamentos já relatados no Brasil. Desde então, notícias sobre novos vazamentos aparecem com frequência, nem sempre confirmadas. A pergunta prática que fica para qualquer pessoa é: como saber se o meu CPF está exposto, e o que fazer se estiver?
CPF vazado não é a mesma coisa que CPF já usado por um golpista
Vale separar dois conceitos que costumam ser confundidos. Um CPF “vazado” ou “exposto” é aquele que aparece em alguma base de dados comprometida — vendida em fóruns, exposta na internet, ou circulando na chamada dark web. Isso não significa, por si só, que alguém já usou aquele dado para aplicar um golpe. Já um CPF “explorado” é aquele que já foi efetivamente usado por um golpista para tentar abrir crédito, fazer compras ou criar cadastros em nome da vítima — evidenciado por sinais concretos, como cobranças desconhecidas ou recusa de crédito sem explicação. Essa distinção importa porque descobrir que seu CPF está exposto é motivo real para agir com atenção, mas não motivo para pânico: é um alerta preventivo, não a confirmação de uma fraude em curso.
Como saber se seus dados estão expostos
Uma ferramenta gratuita e amplamente usada internacionalmente é o Have I Been Pwned (haveibeenpwned.com), que permite consultar se um e-mail ou telefone aparece em vazamentos conhecidos e indexados pelo serviço — vale lembrar que ele funciona por e-mail e telefone, não por CPF diretamente, e só cobre os vazamentos que chegaram ao seu conhecimento, não a totalidade do que existe. Birôs de crédito como Serasa e SPC Brasil também oferecem serviços de monitoramento antifraude voltados a alertar sobre exposição de dados pessoais, incluindo CPF — no caso da Serasa, o serviço pago de monitoramento contínuo envia alertas quando o CPF aparece em ambientes de risco, mas a própria empresa é clara: um alerta indica algo que precisa de verificação, não uma fraude confirmada, e o monitoramento não cobre necessariamente toda exposição existente.
O caminho gratuito e oficial: Registrato do Banco Central
Antes de recorrer a qualquer serviço pago, vale conhecer o Registrato, sistema gratuito do Banco Central que reúne suas operações de crédito, seus relacionamentos com instituições financeiras (quais bancos têm ou tiveram conta em seu nome), as chaves Pix registradas para seu CPF e outras informações cadastrais. É a forma mais direta de identificar uma conta ou operação de crédito que você não reconhece, e o primeiro passo para contestar formalmente junto à instituição responsável caso encontre algo suspeito.
BC PROTEGE+: o bloqueio preventivo que poucos conhecem
Um mecanismo relativamente novo e pouco divulgado é o BC PROTEGE+, lançado pelo Banco Central em dezembro de 2025. Ele funciona como uma trava: ao ativá-lo pelo portal Meu BC (com login gov.br nível Prata ou Ouro), as instituições financeiras ficam obrigadas a consultar essa proteção antes de abrir qualquer conta corrente, poupança ou de pagamento em seu nome — se a proteção estiver ativa, o banco não pode prosseguir sem que você mesmo a desative primeiro. É gratuito e também permite acompanhar quem consultou seu CPF e por qual motivo. Vale um esclarecimento importante: o serviço protege especificamente contra abertura de contas bancárias sem autorização — não é uma blindagem universal contra qualquer tipo de crédito, como um crediário de loja ou uma financeira fora do sistema bancário tradicional, mas ainda assim é a ferramenta oficial mais direta disponível hoje contra esse tipo de fraude.
Outros cuidados práticos
Além dessas ferramentas, vale trocar as senhas de contas sensíveis — e-mail, aplicativos bancários, redes sociais — sempre que houver suspeita de exposição, priorizando senhas únicas por serviço e autenticação em duas etapas. Também vale redobrar a desconfiança diante de contatos não solicitados que mencionem dados pessoais corretos (nome completo, CPF, endereço): isso não prova que a mensagem é legítima, já que justamente esses dados vazados são usados por golpistas para parecer confiáveis.
Quem vaza os dados também responde
A Lei Geral de Proteção de Dados (Lei nº 13.709/2018) obriga empresas e órgãos a comunicar à Autoridade Nacional de Proteção de Dados (ANPD) e aos titulares afetados qualquer incidente de segurança que possa gerar risco relevante, em prazo de até 3 dias úteis conforme regulamentação da própria ANPD. Empresas que falham em proteger adequadamente os dados pessoais estão sujeitas a sanções administrativas, incluindo multa de até 2% do faturamento, limitada a R$ 50 milhões por infração. Ou seja, a responsabilidade não é só de quem se protege — é também, e principalmente, de quem deveria ter protegido os dados desde o início.
Vazamento é só o começo da história
Saber que um dado vazou é o primeiro passo; o que se faz depois é o que realmente protege. Isso se soma a outros cuidados que já tratamos por aqui, como conferir o nome antes de um Pix e ficar atento a sinais do golpe do chip trocado, ou reconhecer os sinais do golpe do CPF clonado. A UP Consultas reúne consulta de CPF e outros dados cadastrais em um só lugar, para apoiar esse tipo de checagem antes de decisões importantes.
Sobre o Autor
