{"id":2528,"date":"2021-02-08T20:10:16","date_gmt":"2021-02-08T20:10:16","guid":{"rendered":"https:\/\/www.acpdbrasil.com\/?p=2528"},"modified":"2021-08-24T20:08:07","modified_gmt":"2021-08-24T23:08:07","slug":"como-o-megavazamento-de-dados-pessoais-pode-afetar-voce","status":"publish","type":"post","link":"https:\/\/www.acpdbrasil.com\/en\/como-o-megavazamento-de-dados-pessoais-pode-afetar-voce\/","title":{"rendered":"Como o megavazamento de dados pessoais pode afetar voc\u00ea?"},"content":{"rendered":"

Vazamento. No \u00faltimo dia 18 de fevereiro, o Brasil foi surpreendido com o que est\u00e1 sendo considerado o maior vazamento de dados da hist\u00f3ria deste pa\u00eds. Mas, a final, o que houve?<\/p>\n\n\n\n

No dia 19 de fevereiro, a PSafe, atrav\u00e9s do seu laborat\u00f3rio de ciberseguran\u00e7a, identificou o vazamento em massa de dados pessoais e dados pessoais sens\u00edveis de mais de 220 milh\u00f5es de brasileiros, incluindo os dados de pessoas j\u00e1 falecidas. Ou seja, esse n\u00famero \u00e9 maior do que a popula\u00e7\u00e3o de pessoas vivas, no Brasil. Contudo, a magnitude desse incidente n\u00e3o para por a\u00ed, j\u00e1 que dados de pessoas jur\u00eddicas, e dados de ve\u00edculos tamb\u00e9m foram vazados.<\/p>\n\n\n\n

Os tipos de dados pessoais envolvidos neste incidente chegam a mais de trinta. Dentre os mais significativos, temos: Nome completo; CPF; G\u00eanero; Data de Nascimento; E-mail; Telefone; Endere\u00e7o; Ocupa\u00e7\u00e3o; Score de Cr\u00e9dito; Registro Geral; T\u00edtulo de Eleitor; Grau Escolaridade; Dados da Receita Federal; Classe Social; Estado Civil; Fotos de Rostos; Cheques sem Fundos; Devedores; Bolsa Fam\u00edlia; Conselhos; Sal\u00e1rio; Renda; IRPF; INSS; FGTS; NIS e PIS. Tamb\u00e9m h\u00e1 dados de 104 milh\u00f5es de ve\u00edculos, que v\u00e3o desde placas at\u00e9 o tipo de combust\u00edvel utilizado.<\/p>\n\n\n\n

H\u00e1 alguns dias, era poss\u00edvel, numa simples busca no Google, acessar a base dos dados. Cabe ressaltar que estima-se que os arquivos com os dados em quest\u00e3o tenham cerca de 50 GB, o que dificulta o seu processamento em computadores com hardwares de baixo desempenho. Ao que tudo indica, a comercializa\u00e7\u00e3o dos dados vazados come\u00e7ou na Deep Web, mas em seguida, subiu para a internet convencional. Os dados pessoais t\u00eam um alto valor no mercado. Um pacote com dados pessoais de 100 pessoas f\u00edsicas ou jur\u00eddicas custa cerca de USD 50,00, que em uma convers\u00e3o livre, para o Real, atinge cerca de R$ 270,00.<\/p>\n\n\n\n

Como pr\u00e1tica comum, os cibercriminosos disponibilizam parte das bases que obt\u00e9m, a fim de comprovarem a veracidade das informa\u00e7\u00f5es e se esfor\u00e7am para conseguirem lucrar com estes dados. Os f\u00f3runs da internet s\u00e3o os lugares favoritos dos cibercriminosos quando deixam a Deep web, como \u00e9 o caso do RAID Forums<\/a>, que est\u00e1 anunciando, ao que tudo indica, parte dos dados do vazamento em quest\u00e3o.<\/p>\n\n\n\n

O sinal de alerta soou para muitas pessoas f\u00edsicas e jur\u00eddicas que come\u00e7aram a se questionar o que pode ser feito para evitarmos tais danos. Al\u00e9m disso, in\u00fameras outras indaga\u00e7\u00f5es surgiram. Algumas, j\u00e1 podem ser respondidas, contudo outras, s\u00f3 com o tempo, j\u00e1 que depender\u00e3o de investiga\u00e7\u00f5es e apura\u00e7\u00f5es de diferentes institui\u00e7\u00f5es, como por exemplo: PROCON, SENACON, ANPD, MP, PF, BACEN (caso os dados vazados contiverem dados oriundos do Cadastro Positivo). Sim, o tema privacidade e prote\u00e7\u00e3o de dados acarreta uma compet\u00eancia concorrente, uma multiplicidade de atores e di\u00e1logo das autoridades.<\/p>\n\n\n\n

A Serasa Experian \u00e9 alvo de apura\u00e7\u00e3o do PROCON-SP. Cogita-se que devido ao detalhamento, estrutura\u00e7\u00e3o dos dados, score<\/em> de cr\u00e9dito, e o uso do sistema Mosaic Brasil, que \u00e9 baseado em sofisticados modelos estat\u00edsticos e anal\u00edticos, os dados em quest\u00e3o sejam originados da base da Serasa. A Lei Geral de Prote\u00e7\u00e3o de Dados (LGPD) prev\u00ea san\u00e7\u00f5es administrativas para as organiza\u00e7\u00f5es que cometerem infra\u00e7\u00f5es \u00e0s normas previstas nesta Lei. Contudo, estas san\u00e7\u00f5es s\u00f3 poder\u00e3o ser aplicadas a partir de 1\u00ba de agosto deste ano, ou seja, a ANPD ainda n\u00e3o pode aplicar multas pecuni\u00e1rias. Mas, engana-se quem pensa que em caso de vazamento, uma organiza\u00e7\u00e3o n\u00e3o pode ser acessada. O PROCON-SP, por exemplo, pode aplicar penalidades baseadas no C\u00f3digo de Defesa do Consumidor (CDC).<\/p>\n\n\n\n

Pesquisadores continuam apurando este incidente, no entanto, at\u00e9 agora, n\u00e3o existem informa\u00e7\u00f5es s\u00f3lidas sobre as fontes. Apesar de alarmante, vazamentos como este n\u00e3o s\u00e3o in\u00e9ditos! O que chama a aten\u00e7\u00e3o para este \u00e9 a quantidade, estrutura e organiza\u00e7\u00e3o impec\u00e1vel destes dados. Uma das primeiras coisas que podem surgir em seus pensamentos \u00e9 o que falta mais ser vazado? J\u00e1 que est\u00e1 quase tudo ali.<\/p>\n\n\n\n

\"\"<\/figure>\n\n\n\n

De acordo com um processo do Minist\u00e9rio P\u00fablico do Distrito Federal e dos Territ\u00f3rios (MPDFT), a Serasa Experian vendia dados pessoais ao valor de R$ 0,98 por titular, com informa\u00e7\u00f5es que continham nome, endere\u00e7o, CPF, at\u00e9 tr\u00eas n\u00fameros de telefones, localiza\u00e7\u00e3o, perfil financeiro, poder aquisitivo e classe social para fins de publicidade e capta\u00e7\u00e3o de novos clientes.<\/p>\n\n\n\n

O j\u00e1 citado sistema Mosaic Brasil, segundo a pr\u00f3pria Serasa, em sua vers\u00e3o brasileira, j\u00e1 classificou mais de 140 milh\u00f5es de consumidores no Pa\u00eds, em 11 grupos e 40 segmentos. Sua base foi criada com o cruzamento de dados da Serasa Experian, dados p\u00fablicos e an\u00e1lises realizados por um instituto de pesquisa. Esta ferramenta foi anunciada oficialmente, em 30 de  setembro de 2014, e foi considerada como o mais completo estudo de segmenta\u00e7\u00e3o, j\u00e1 realizado no Brasil, sobre a popula\u00e7\u00e3o brasileira acima de 18 anos. O Mosaic Brasil \u00e9 um modelo de segmenta\u00e7\u00e3o do mercado consumidor brasileiro, baseado em dados socioecon\u00f4micos, demogr\u00e1ficos, geogr\u00e1ficos, comportamentais, de consumo e estilo de vida. Classifico com assustador o n\u00edvel de detalhe da ferramenta.<\/p>\n\n\n\n

\"\"<\/figure>\n\n\n\n

No caso do Brasil, ser\u00e1 que o Governo e o com\u00e9rcio deveriam continuar utilizando determinados dados como refer\u00eancias aos cidad\u00e3os, mesmo estes tendo sido explicitamente vazados? Esse vazamento pode acabar com a seguran\u00e7a de muitos sistemas brasileiros, j\u00e1 que o Brasil tem muitos sistemas baseados em confirma\u00e7\u00f5es de dados. Ou seja, os dados pessoais vazados que ainda servem de valida\u00e7\u00e3o em sistemas est\u00e3o sob grande risco. O CPF \u00e9 hoje, no Cadastro Base Cidad\u00e3o, o identificador padr\u00e3o, por defini\u00e7\u00e3o, isto \u00e9, para os novos planos de identidade digital do Governo.<\/p>\n\n\n\n

Cabe destacar que no nosso dia a dia, in\u00fameros dados pessoais s\u00e3o coletados, tanto online, quanto off-line, seja na farm\u00e1cia que coleta seu CPF, no cond\u00f4mino que pede seu nome e sobrenome, identidade, e ainda coleta a placa do seu carro; seja na internet, na infinidade dos e-mails, cookies etc.<\/p>\n\n\n\n

Os cookies s\u00e3o necess\u00e1rios para o bom funcionamento de alguns sites, contudo podem facilmente cobrir uma grande parte da sua vida digital, e s\u00e3o amplamente utilizados para a pr\u00e1tica conhecida com Engenharia Social. Atrav\u00e9s dos cookies, \u00e9 poss\u00edvel saber que tipo de rede wi-fi voc\u00ea usa, quais pacotes de internet voc\u00ea contrata, tipos de dispositivos que est\u00e1 utilizando e at\u00e9 mesmo sua localiza\u00e7\u00e3o de GPS.<\/p>\n\n\n\n

Empresas e cibercriminosos tamb\u00e9m se especializaram na utiliza\u00e7\u00e3o de rob\u00f4s para obterem dados pessoais de bases p\u00fablicas que t\u00eam que estar em compliance<\/em> com a Lei de Acesso \u00e0 Informa\u00e7\u00e3o, por exemplo.<\/p>\n\n\n\n

Ainda n\u00e3o sabemos que foi o respons\u00e1vel pelo cibercrime, mas sabemos que j\u00e1 est\u00e1 sendo apurado tanto pela iniciativa p\u00fablica quanto pela privada. Sim, neste caso h\u00e1 uma multiplicidade de atores, que incluem: a Pol\u00edcia Federal (PF); o Gabinete de Seguran\u00e7a Institucional da Presid\u00eancia da Rep\u00fablica; a Autoridade Nacional de Prote\u00e7\u00e3o de Dados (ANPD); e a PSafe, empresa que descobriu o vazamento.<\/p>\n\n\n\n

A Ordem dos Advogados do Brasil (OAB), em janeiro, atrav\u00e9s de of\u00edcio, manifestou preocupa\u00e7\u00e3o com o vazamento e pediu que a ANPD investigue o incidente.<\/p>\n\n\n\n

O ocorrido submete praticamente toda a popula\u00e7\u00e3o brasileira a um cen\u00e1rio de grave risco pessoal e irrepar\u00e1vel viola\u00e7\u00e3o \u00e0 privacidade e precisa ser investigado a fundo pelas autoridades competentes, em particular por essa ag\u00eancia.<\/em><\/p>OAB<\/cite><\/blockquote>\n\n\n\n

Em nota, a ANPD destacou que mobilizou todo o seu efetivo para analisar os aspectos relacionados \u00e0 LGPD que s\u00e3o pertinentes ao incidente.<\/p>\n\n\n\n

O que voc\u00ea pode fazer?<\/strong><\/p>\n\n\n\n

  1. Saber se voc\u00ea foi uma das v\u00edtimas;<\/li>
  2. Saber quais informa\u00e7\u00f5es foram vazadas;<\/li>
  3. Acompanhar not\u00edcias para saber quem \u00e9 o controlador desses dados pessoais;<\/li>
  4. Caso o controlador seja identificado, mover a\u00e7\u00e3o na Justi\u00e7a Comum ou Juizado Especial C\u00edvel, a fim de exercer nossos direitos.<\/li><\/ol>\n\n\n\n

    Quais s\u00e3o as perguntas e respostas mais relevantes sobre esse incidente?<\/strong><\/p>\n\n\n\n

    1. Quais instrumentos jur\u00eddicos s\u00e3o aplic\u00e1veis? A Lei Geral de Prote\u00e7\u00e3o de Dados (LGPD); O C\u00f3digo de Defesa do Consumidor (CDC) e o C\u00f3digo Civil, pelo menos;<\/li>
    2. Voc\u00ea tem ideia da import\u00e2ncia dos seus dados pessoais?<\/li>
    3. Ser\u00e1 que o CPF deve continuar sendo utilizado como identificador principal em bases de dados do Governo?<\/li>
    4. As organiza\u00e7\u00f5es deveriam continuar a manter esse volume imenso de dados pessoais e ainda aplicarem modelos para transformar os dados em informa\u00e7\u00e3o, intelig\u00eancia?<\/li>
    5. Ser\u00e1 que precisamos fornecer tantos dados assim para simples cadastros?<\/li>
    6. Voc\u00ea concorda com o Cadastro Positivo, ou seja, a inclus\u00e3o autom\u00e1tica de seus dados, em bases na inciativa privada?<\/li><\/ol>\n\n\n\n

      O incidente em quest\u00e3o, faz lembrar outro incidente ocorrido nos Estados Unidos, envolvendo a empresa Equifax, que tamb\u00e9m \u00e9 um bureau<\/em> de cr\u00e9dito, e aqui no Brasil foi incorporada pelo Banco Boavista. A Equifaz est\u00e1 entre os tr\u00eas maiores do mundo, junto com a Experian e a TransUnion. Entre maio e julho de 2017, cibercriminosos exploraram uma brecha no servidor da Equifax, e mais de 147 milh\u00f5es de norte americanos tiveram seus dados pessoais vazados, como por exemplo: nome, endere\u00e7o, data de nascimento, carteira de motorista, Social Security number, al\u00e9m de 209 mil n\u00fameros de cart\u00f5es de cr\u00e9dito. A Equifax s\u00f3 comunicou publicamente este vazamento, em setembro de 2017. Em outubro do mesmo ano, outro incidente na Equifax vazou os dados salariais de funcion\u00e1rios de centenas de milhares de empresas norte americanas que empregavam metade da popula\u00e7\u00e3o. Houve um acordo de USD 650 milh\u00f5es e, at\u00e9 2024, a Equifax:<\/p>\n\n\n\n