Pesquisa encomendada pela NordVPN mostra que 51% dos entrevistados brasileiros já divulgaram o CPF na internet e 21% compartilharam informações bancárias.
O receio de sofrer golpes digitais não impede os brasileiros de expor informações capazes de facilitar fraudes e roubos de identidade. Uma pesquisa encomendada pela NordVPN mostra que 82% dos entrevistados no país já compartilharam o nome completo na internet, enquanto 51% divulgaram o CPF e 21% forneceram dados bancários.
A exposição ocorre mesmo em um ambiente de crescente preocupação. Segundo o levantamento, 37% dos brasileiros temem que suas informações pessoais estejam circulando online sem conhecimento ou autorização. Um em cada três entrevistados também afirma que não consegue imaginar passar um dia inteiro desconectado.
O estudo foi realizado pela Cint entre 1º e 17 de abril de 2026. No Brasil, foram ouvidos aproximadamente mil usuários de internet com idades entre 18 e 74 anos, seguindo cotas de idade, gênero e local de residência.
Os resultados reforçam uma contradição da vida digital: os consumidores reconhecem os riscos, mas continuam fornecendo informações pessoais em cadastros, aplicativos, redes sociais, compras, promoções e serviços cuja política de proteção de dados nem sempre é conhecida.
CPF, endereço e data de nascimento entram na exposição
O nome completo é apenas uma parte do volume de informações já compartilhadas. Entre os participantes brasileiros, 78% disseram ter divulgado a data de nascimento, enquanto 63% compartilharam o endereço residencial completo. O mesmo percentual informou o status de relacionamento.
Mais de um terço, ou 36%, publicou imagens próprias ou de familiares. O dado mais sensível aparece na exposição do CPF, compartilhado por 51% dos entrevistados. Outros 21% afirmaram já ter fornecido informações bancárias online.
O arrependimento também começa a aparecer. De acordo com a NordVPN, 21% dos brasileiros já compartilharam uma informação pessoal e depois desejaram não ter feito isso, proporção próxima do dobro da média global registrada pela pesquisa.
Os dados não significam necessariamente que todas essas informações foram publicadas abertamente em redes sociais. O questionário considera diferentes formas de compartilhamento na internet, incluindo cadastros e interações digitais. Ainda assim, a quantidade de informações fornecidas amplia a chamada pegada digital e pode facilitar ataques quando bases distintas são combinadas.
Dados comuns viram mercadoria na dark web
Uma segunda análise conduzida pela NordVPN ajuda a mostrar o destino potencial das informações obtidas em vazamentos, invasões e campanhas de phishing.
A equipe de pesquisa analisou quase 75 mil anúncios encontrados em diferentes mercados da dark web. Os dados cobrem o período de janeiro de 2025 a fevereiro de 2026. Segundo a empresa, os pesquisadores não compraram nem acessaram as informações roubadas: foram analisados os anúncios e os preços oferecidos pelos vendedores.
Os valores mostram como credenciais digitais se transformaram em produtos de baixo custo:
- Uma conta pessoal de e-mail pode ser anunciada por aproximadamente US$ 1;
- Uma conta brasileira do Office 365 apresentou preço mediano de US$ 25,52;
- Um cartão de pagamento roubado custava, em média, cerca de US$ 10;
- Uma conta da Netflix apareceu com preço mediano de US$ 4,55;
- Contas de redes sociais variavam de US$ 12, no Telegram, a US$ 60, no TikTok;
- Pacotes digitais completos de identidade, conhecidos como “fullz”, apareceram em alguns mercados por valores próximos de US$ 40;
- Contas financeiras comprometidas atingiam preços mais elevados, como a mediana de US$ 899 encontrada para acessos da Wise.
Os preços não representam necessariamente transações concluídas. Eles correspondem aos valores anunciados nas plataformas analisadas. Ainda assim, ajudam a dimensionar a industrialização do roubo de credenciais.
Quanto maior a disponibilidade de determinada informação, menor tende a ser seu preço. O baixo valor, portanto, não significa pouco risco. Pode indicar justamente que aquele tipo de dado é obtido e comercializado em grande escala.
E-mail pode abrir caminho para outras contas
As informações consideradas mais simples podem produzir consequências maiores do que o consumidor imagina. Uma caixa de e-mail comprometida, por exemplo, pode permitir que criminosos solicitem redefinições de senha, acessem documentos, identifiquem contatos e descubram quais serviços a vítima utiliza.
Contas corporativas tendem a valer mais porque podem funcionar como porta de entrada para sistemas internos, documentos confidenciais e comunicações empresariais.
“As pessoas muitas vezes imaginam o roubo de dados como um ataque dramático e direcionado. Na realidade, é algo muito mais comum”, afirma Marijus Briedis, CTO da NordVPN.
O reaproveitamento de uma mesma senha em diferentes plataformas aumenta ainda mais o risco. Quando uma credencial vaza, criminosos podem testá-la automaticamente em serviços bancários, redes sociais, lojas virtuais, plataformas de trabalho e aplicativos de streaming.
É o chamado credential stuffing, ataque que explora a repetição de senhas para invadir diversas contas de uma mesma pessoa.
Responsabilidade não pode recair apenas sobre o usuário
O cuidado individual é importante, mas não elimina a responsabilidade das empresas que coletam, armazenam e utilizam informações pessoais.
Boa parte dos dados oferecidos em mercados clandestinos tem origem em vazamentos de organizações. Quanto mais informações uma empresa coleta, maior é o impacto potencial caso seus sistemas sejam comprometidos.
A Lei Geral de Proteção de Dados determina que o tratamento de informações siga princípios como finalidade, necessidade, transparência, segurança e prevenção. Isso significa que empresas não devem solicitar dados sem uma justificativa clara nem armazená-los indefinidamente.
Também é necessário controlar quem pode acessar essas informações, manter sistemas atualizados, preparar respostas para incidentes e comunicar os titulares quando houver riscos relevantes.
O Mundo RH já mostrou que a inteligência artificial está mudando a cibersegurança e exigindo uma nova cultura nas empresas. A proteção depende da combinação entre tecnologia, processos, treinamento e comportamento humano.
Como reduzir o risco de roubo de identidade
O CERT.br recomenda o uso de autenticação forte, senhas diferentes para cada conta e verificação em duas etapas. Algumas medidas ajudam a reduzir a exposição:
- Criar senhas longas, exclusivas e difíceis de adivinhar;
- Utilizar um gerenciador confiável de senhas;
- Ativar autenticação multifator, principalmente no e-mail e em contas financeiras;
- Revisar sessões e dispositivos conectados às contas;
- Habilitar alertas de login e notificações de movimentações bancárias;
- Evitar fornecer CPF, endereço e documentos quando não forem indispensáveis;
- Desconfiar de links recebidos por mensagens, mesmo quando parecem urgentes;
- Manter sistemas, navegadores e aplicativos atualizados;
- Alterar imediatamente senhas associadas a serviços que sofreram vazamentos;
- Consultar o Registrato e ferramentas como o BC Protege+ diante de suspeitas de uso indevido da identidade.
O uso de uma VPN pode aumentar a privacidade e proteger o tráfego, especialmente em redes públicas. A ferramenta, entretanto, não impede que o usuário entregue informações em páginas fraudulentas, reutilize senhas ou seja vítima de engenharia social. Por isso, deve integrar uma estratégia mais ampla de segurança.
O principal desafio está em transformar preocupação em comportamento. Em um mercado no qual e-mails, cartões e contas digitais podem ser negociados por poucos dólares, cada informação compartilhada precisa ser tratada como parte de uma identidade que pode ser reconstruída e explorada por criminosos.
Como os estudos foram realizados
A pesquisa sobre hábitos digitais foi encomendada pela NordVPN e conduzida pela Cint entre 1º e 17 de abril de 2026. A maioria dos países contou com mil entrevistados. No Brasil, participaram usuários de internet entre 18 e 74 anos.
O levantamento sobre a dark web analisou quase 75 mil anúncios coletados em diferentes mercados. As ofertas cobrem o período de janeiro de 2025 a fevereiro de 2026. Após processos de filtragem e remoção de duplicidades, os anúncios foram classificados por categoria, localização e nível de confiança.
Leia também | Segurança digital e proteção de dados
- Conversas com IA ampliam riscos ocultos de dados
- IA generativa dobrou violações de dados nas empresas
- Dados de 252 milhões de pessoas são expostos online
- Funcionários alimentam o ChatGPT com dados sigilosos
- IA muda a cibersegurança e exige nova cultura nas empresas
