O megavazamento de dados de brasileiros, apelidado também de vazamento de dados do fim do mundo, foi um gigantesco vazamento de dados de brasileiros, vivos ou mortos, que divulgaram a partir de 2021, ocorrendo registros desde anos anteriores, como em 2019, embora pouco conhecidos pela corrente dominante. Até agosto de 2026, os dados permaneciam ativos e acessíveis tanto na deep web quanto na internet superficial.
A ação foi revelada pelo Dfndr Lab., e é considerada a maior da história do Brasil, expôs dados como CPF, e-mail e telefone de mais de 223,7 milhões de indivíduos, além de identificar a deficiência do sistema de segurança cibernética do Brasil. Além de CPFs, há dados vazados de 40 milhões de CNPJs.
Contexto O vazamento compõe dados de agosto de 2019, porém, só veio à tona em janeiro de 2021 após os dados terem sido colocados à venda na internet.
Não se sabe a origem de onde esses dados foram colhidos, porém, sabe-se que alguns dados fazem referências à empresas e serviços, de onde eles podem ter sido tirados e outros podem ter origens em vazamentos anteriores, o que leva a crer que a sua origem pode ter origem em diversas fontes.
A empresa Serasa Experian foi notificada pelo Procon-SP e pela Secretaria Nacional do Consumidor (Senacon), com pedidos de explicações sobre origem dos dados, contudo, o Serasa nega que seu banco de dados tenha sido invadido.
Operadoras como TIM Brasil, Claro, Oi (atualmente NIO) e Vivo (Telefônica Brasil) foram obrigadas para explicar os vazamentos de dados de 103 milhões de usuários.
Em 2019, Associação dos Registradores de Pessoas Naturais do Estado de São Paulo (Arpen-SP) foi responsável por vazar 1 milhão de arquivos, inclusos um banco de dados com 381 mil certidões de nascimento.
Conteúdo Entre tantos dados, foram vazados: CPF, nome e data de nascimento; Endereços com CEP; Fotos de rosto; Nota de crédito (compras online), renda, cheques sem fundo e outras informações financeiras; Imposto de renda de pessoa física; Dados cadastrais de serviços de telefonia; Escolaridade; CNIS (Cadastro Nacional de Informações Sociais) e benefícios do INSS; Cópias de Carteira Nacional de Habilitação (CNH); Banco Nacional de DNAs; Boletins de ocorrência e mandados de prisão; Dados relativos a servidores públicos; Notas fiscais e outros dados fiscais; Certidões de nascimento e outros arquivos notariais; Informações do LinkedIn; Meu SUS Digital.
Impacto O periódico Folha de S.Paulo, considera este como o Vazamento do Fim do Mundo, pois, a partir de agora, já não há mais dados estruturais sobre qualquer brasileiro que ainda esteja por vazar.
Os dados são distribuídos através de painéis de dados e acessíveis em redes sociais, como Telegram, WhatsApp e Discord. Os painéis são negociados em grupos de conversas, aplicativos proprietários, sites e fóruns.
Os dados vazados podem ser utilizados para aplicar golpes variados, saque indevido de FGTS e obtenção de vantagens financeiras e seus impactos podem ser sentidos por anos.
Um mercado digital clandestino cresceu na internet, com vendas de informações pessoais, senhas, credenciais de servidores públicos, serviços para alterar processos legais, entre outros, de forma comprovadamente funcional, de acordo com o Núcleo de Prevenção à Violência Extrema (NUPVE).
Houve a formação de um ecossistema criminoso, conhecido como "The Com" (lit. A Comunidade), não se tratando apenas de um grupo organizado, mas comunidades internacionais e descentralizadas.
Lei de proteção de dados A Lei Geral de Proteção de Dados Pessoais prevê sanções que podem culminar em uma multa de até o máximo de 50 milhões de reais; porém, as punições só deveriam ser aplicadas a partir de agosto de 2021, uma vez que a ANPD (Autoridade Nacional de Proteção de Dados), responsável pela aplicação da multa, ainda estaria definindo seus principais cargos técnicos à época.
Reações A Procuradoria do Consumidor (PROCON) e a Secretaria Nacional do Consumidor pediram explicações à Serasa sobre a origem dos dados, vindo a empresa a negar qualquer invasão.
A Ordem dos Advogados do Brasil também afirmou estar em alerta para o perigo proveniente do vazamento e aponta um cenário de grave risco pessoal e irreparável violação à privacidade.
A Autoridade Nacional de Proteção de Dados afirmou que está apurando tecnicamente informações sobre o caso e pediu ajuda à Polícia Federal.
Renata Mieli, coordenadora-geral do Fórum Nacional pela Democratização da Comunicação (FNDC), pontua que o vazamento de dados coloca o governo federal e a Autoridade Nacional de Proteção de Dados numa verdadeira “prova de fogo”.
Para investigar golpistas através de seus números de celular ou WhatsApp, muitos utilizam sites para saber a titularidade constante na Anatel, muitas vezes presente também em sites privados da Internet. 3,5 bilhões de números, muitos com fotos ou nomes no perfil, foram expostos a brechas na cibersegurança, incluindo 206 milhões de brasileiros.
O FBI colabora com o Brasil na investigação de mercados clandestinos digitais que vendem os dados na internet.
Prisão de hackers e violação da tornozeleira eletrônica Marcos Roberto Correia da Silva, mais conhecido como WandaTheGod e Yuri Batista Novaes, de vulgo JustBR foram presos em 19 de março de 2021 nas cidades de Uberlândia e Petrolina, respectivamente. Na época, acusados de serem os responsáveis pela violação de dados sigilosos de 223 milhões de pessoas, entre vivos e mortos. Segundo investigações da Polícia Federal, os criminosos utilizaram um fórum de armazenamento de dados para serem vendidos a terceiros em troca de criptomoedas.https://g1.globo.com/economia/tecnologia/noticia/2021/03/19/policia-federal-deflagra-operacao-contra-divulgacao-e-comercializacao-de-dados-pessoais-de-brasileiros.ghtml Em 2023 durante o cumprimento da pena em regime de prisão domiciliar, Marcos violou a tornozeleira eletrônica que usava e fugiu de Minas Gerais.https://noticias.uol.com.br/cotidiano/ultimas-noticias/2024/04/09/hacker-suspeito-pelo-maior-vazamento-de-dados-do-brasil-e-preso-pela-pf.htm O criminoso foi encontrado na cidade de Feira de Santana, na Bahia e voltou a ser preso preventivamente.https://g1.globo.com/ba/bahia/noticia/2024/04/09/suspeito-de-hackear-sites-do-senado-exercito-e-tse-e-preso-na-ba.ghtml
Prisão de servidores Em 2026, três servidores da Receita Federal, e outro da Empresa Nacional de Inteligência em Governo Digital e Tecnologia da Informação (Serpro), foram presos por divulgarem e venderem dados, relacionados a autoridades ligadas ao STF.
Bloqueio de spam Vivo (Telefônica Brasil) manteve sistema de bloqueio anti-spam contra ligações indesejadas. Adyl Telecom, durante dois meses, relatou interrupções em mais de 16 mil ligações, e conseguiu tratativa de desbloqueio em agosto de 2026. Outras empresas reclamaram, incluindo TIM Brasil. Sistema estadual, desenvolvido junto ao Procon-PR, criou função para registrar bloqueio ligações, denominado CBRLT.
Privatizações O processo de privatização da Celepar, uma govtech paranaense, gerou uma série de controvérsias referente a possíveis vazamento de dados, sendo a Google a maior interessada.
Incidentes em 2026
Investigação britânica Uma ação coletiva foi iniciada pela Justiça da Inglaterra para investigar Serasa, e demais empresas ligadas ao grupo Experian, cuja sede está no Reino Unido. O vazamento foi identificado pelo laboratório de cibersegurança da PSafe. A petição inicial foi protocolada em 9 de janeiro de 2026 e o rito inglês permite que outras vítimas se juntem ao processo mesmo após o protocolo em que, até então, cerca de 25 mil pessoas manifestaram interesse em integrar a ação, de indenização para os titulares afetados e responsabilização.
Operação Exfil
Em 2026, a Polícia Federal iniciou Operação Exfil, também denominada de Operação Dataleaks, uma ação de inteligência, voltada a desarticular um esquema de obtenção ilícita e comercialização de dados fiscais sigilosos pertencentes a autoridades públicas e seus familiares, como de ministros do Supremo Tribunal Federal e do Procurador-Geral da República. Autorizada pelo ministro Alexandre de Moraes no âmbito do inquérito das fake news, a operação investigou o acesso indevido a sistemas da Receita Federal e do Conselho de Controle de Atividades Financeiras (Coaf), revelando uma cadeia estruturada que envolvia servidores públicos, funcionários terceirizados e intermediários. O principal alvo das buscas foi o empresário Marcelo Paes Fernandez Conde, suspeito de encomendar as informações mediante pagamentos em espécie de cerca de R$ 4,5 mil por lista de acessos.
MORGUE O banco de dados, apelidado de MORGUE (), é um arquivo massivo contendo registros de CPFs. O cibercriminoso responsável pela venda, identificado como "Buddha", alega que os dados foram extraídos diretamente do portal Gov.br em março de 2025, embora o alerta tenha ganhado força em abril de 2026. Ministério da Gestão e da Inovação em Serviços Públicos (MGI) negou qualquer invasão sistêmica no Gov.br, sugerindo que o banco pode ser uma reorganização de vazamentos antigos. Um novo relato, reportado por Poder360 em julho de 2026, alega obtenção de 279 milhões de CPF e sua venda na dark web intelectual, incluindo ano de óbito, país de residência no exterior, condição de estrangeiro, situação de residente no exterior, nome de logradouro, nome social, UF de residência e naturalização, situação cadastral e data de última atualização.
Alerta falso da Defesa Civil
Entre o final da noite de 19 de junho e o início da madrugada de 20 de junho de 2026, um hacker teria invadido o sistema Defesa Civil Alerta e disparado alertas máximos para sete estados e o Distrito Federal contendo o uso do termo "Misantropia", que significa ódio e repulsa ao ser humano, além de mensagens desconexas com xingamentos e até de uma possível "invasão alienígena", utilizando serviços como SMS e Cell Broadcast. Uma investigação da Polícia Federal e do Ministério da Integração e do Desenvolvimento Regional (MIDR) concluiu que o ataque hacker veio de três credenciais roubadas de servidores públicos da Defesa Civil do Pará. O suposto autor do ocorrido confessou, em um depoimento ao portal TecMundo e em uma postagem no X que utilizou dados vazados em um canal no Telegram. Em março de 2026, três meses antes do ocorrido, um policial civil aposentado foi alvo da Operação Nexus Fractus, para investigar uso indevido e coleta de informações de bancos de dados de órgãos públicos.
Saúde e seguro social Após incidentes com Meu SUS Digital durante a pandemia de COVID-19 no Brasil, em 2021, novos ataques de ransomware foram detectados, expondo 500 mil pacientes de diversos hospitais no Brasil. A Autoridade Nacional de Proteção de Dados instaurou processo contra Instituto Saúde e Cidadania (Isac), gestora de unidades públicas de saúde em Goiás, Rio Grande do Sul, Bahia, Alagoas, Piauí e Tocantins.
Dataprev rastreou vazamento de dados, em maio, de 2,8 milhões de Cadastro de Pessoas Físicas, das quais 52 mil são seguradas comprovadamente vivas. Suspeita-se falha em aplicativo Meu INSS. Outro caso semelhante foi confirmado pela empresa em 2024.
Práticas abusivas na coleta de dados biométricos, especificamente escaneamento da íris, de consumidores em troca de dinheiro ou recompensas, levaram o Ministério Público do Estado de São Paulo (MPSP) a investigar Tools for Humanity Corporation, responsável pelo Projeto World ID, e Amazon AWS Serviços Brasil. Solicita-se indenização coletiva de, no mínimo, R$ 240 milhões por danos morais, além da reparação de danos individuais, referente a 400 mil pessoas, que foram alvo do extrativismo.