Informações vazadas sobre 223 milhões de CPFs ficaram mais acessíveis

A prisão do suspeito pelo maior vazamento de dados da história do Brasil não deve diminuir a circulação das informações. Nos últimos dois meses, as informações referentes a 223 milhões de CPFs e 40 milhões de CNPJs ficaram mais acessíveis a criminosos e golpistas. As informações foram agrupadas em blocos maiores e tiveram os preços reduzidos.

Embora o anúncio original da venda tenha surgido em um fórum de acesso mais simples (pois era indexado pelo Google), os criminosos em posse das informações facilitaram a disseminação dessas informações na deep web, local que permite a alta circulação de criminosos e golpistas.

Em janeiro, o hacker vendia os dados em pacotes pequenos de CPFs: 100, 2 mil e 20 mil números de CPF. Agora, os dados foram agrupados em 40 pacotões, cada um com dados de cerca de 5,6 milhões de CPFs e 1 milhão de CNPJs. Proporcionalmente, o preço por CPF sofreu redução, pois o criminoso está cobrando 40 mil euros por toda a base ou 1 mil euros por grupo. Antes, a precificação era de US$ 100 por 100 CPFs, US$ 500 por 2 mil CPFs e US$ 2.000 por 20 mil CPFs – no total, o hacker poderia ganhar mais de US$ 20 milhões. A informação na redução de valores foi publicada inicialmente no site Tecnoblog e confirmada posteriormente pelo Estadão.

Além disso, o hacker dizia no novo anúncio que entregava gratuitamente o primeiro dos 40 lotes para aqueles que negociassem diretamente com ele, o que já torna público os dados de mais de 5 milhões de pessoas. Em janeiro, os criminosos haviam postado uma amostra grátis que continha os dados de apenas 40 mil pessoas.

O novo anúncio na deep web também dá indicações de que não apenas o hacker tem as informações que diz ter, como também foram bastante comercializadas no submundo da rede. O fórum indica que ele já efetuou quase 700 vendas em toda a história, marca alta. Além disso, ele apresenta nota alta no sistema de ranqueamento, o que significa que ele costuma entregar o que promete.

“Não é possível colocar a pasta de volta no tubo. Os dados que vazaram e se disseminaram devem continuar sendo explorados ativamente por criminosos, dando origem a novos bancos de dados, incluindo informações atualizadas de novos vazamentos”, diz Felipe Daragon, fundador da empresa de cibersegurança Syhunt. “Cabe agora aos governos, empresas e sociedade compreenderem e se adaptarem a esta nova realidade, dando respostas adequadas”.

De fato, o megavazamento já parece ser um exemplo da evolução de bases de dados vazadas. No começo de março, um novo anúncio foi postado no mesmo fórum do megavazamento de janeiro. Nele, havia a oferta de uma base de dados de 223 milhões de CPFs, que supostamente pertencia ao Poupatempo, que negou ter sido alvo de ação criminosa. A indicação de que os dados teriam partido do órgão paulista estava no próprio anúncio do criminoso.

A pedido do Estadão, a Syhunt comparou as informações contidas nos dois vazamentos. A conclusão é de que a base do Poupatempo é uma versão antiga – e mais simplificada – da base de janeiro. Isso reforça a tese de especialistas em cibersegurança de que a base de janeiro tem múltiplas fontes e foi construída ao longo do tempo.