279 milhões de CPFs. Mais que a população inteira do Brasil, porque inclui falecidos. Em julho de 2026, segundo um anúncio no fórum criminoso breached.su, uma base com 279 milhões de registros de CPF foi oferecida por 10.000 dólares. Nós acompanhamos o caso e o sinal é claro: o dado pessoal virou commodity, o preço está em queda livre, e a ausência de consequência sustenta o problema.
O incidente de julho: 279 milhões de CPFs no breached.su
Segundo o anúncio no fórum criminoso breached.su, a base reivindicada continha 279 milhões de registros de CPF, oferecida por 10.000 dólares. A Receita Federal negou qualquer comprometimento de seus sistemas e apontou um servidor da ANCINE com backup legado de 2019. Segundo a ANCINE, houve ataque à sua infraestrutura, mas nenhum dado protegido por sigilo fiscal foi comprometido. A ANPD não se pronunciou publicamente sobre o caso.
Este é o terceiro incidente do gênero em 2026. Em abril, segundo listagens reportadas em fóruns, o MORGUE ofereceu 251 milhões de CPFs por 500 dólares. Em junho, uma base de 248 milhões apareceu por 1.300 dólares. Em julho, 279 milhões por 10.000 dólares. O dado pessoal virou commodity. E o preço está em queda livre.
O preço em queda livre: 80 vezes mais barato em cinco anos
Em 2021, segundo dados reportados da dark web, a base da Serasa com 223 milhões de CPFs custava 40.000 dólares. Hoje, 251 milhões custam 500 dólares. A barreira de entrada caiu 80 vezes em cinco anos.
O Brasil tem um padrão recorrente de megavazamentos. 2021: Serasa, 223 milhões. 2026: MORGUE, 251 milhões. Depois 248 milhões. Depois 279 milhões. Sempre superando a população viva porque inclui falecidos, o que é normal para bases de CPF. O problema não é o tamanho da base. É que cada novo vazamento reduz o preço de mercado do dado já comprometido.
A LGPD no papel e a autoavaliação que sustenta o problema
A LGPD exige notificação de incidente em 3 dias úteis. Mas a avaliação de "risco ou dano relevante" fica a cargo da própria empresa. O caso iFood é o exemplo: em dezembro de 2025, segundo o incidente reportado, a empresa descobriu um vazamento e não comunicou à ANPD nem aos titulares. Interpretou que não houve risco relevante. 1,2 milhão de usuários afetados.
A ANPD aplicou a primeira multa financeira da história em julho de 2023. Telekall, uma microempresa de telefonia. 14.400 reais. Até 2026, é a única empresa privada efetivamente multada. Só em 2023, segundo dados reportados, a Europa aplicou 1,78 bilhão de euros em multas GDPR. A diferença não é de legislação, é de consequência efetiva.
A fraude que cresce enquanto a consequência não vem
Enquanto isso, as fraudes crescem. Segundo dados reportados, 6,9 milhões de tentativas no primeiro semestre de 2025, uma a cada 2,3 segundos. O setor bancário responde por 53,7%. Segundo o Banco Central, o BC Protege+, lançado em dezembro de 2025, já bloqueou 255 mil tentativas de abertura de contas fraudulentas.
A maturidade cyber das empresas brasileiras conta o resto da história. Segundo dados de survey, apenas 5% atingiram nível maduro. 77% investem menos de 1% da receita em cibersegurança. 83% não têm executivo dedicado à segurança da informação. Quando a Tech86 implementa programas de segurança para clientes no Brasil, o diagnóstico inicial quase sempre revela o mesmo padrão: dados pessoais sem classificação, incidentes sem resposta estruturada, boards sem visibilidade de risco cyber. A LGPD existe no papel. A prática ainda não acompanhou.
Conclusão: o vazamento expõe o dado, a ausência de consequência sustenta o problema
279 milhões de CPFs a 10.000 dólares. O vazamento expõe o dado. A ausência de consequência sustenta o problema. A barreira de entrada caiu 80 vezes em cinco anos, a primeira multa da história foi 14.400 reais em uma microempresa, e a única empresa privada efetivamente multada até 2026 continua sendo a mesma. A LGPD exige notificação em 3 dias úteis, mas deixa a definição de "risco relevante" para quem vaza. O resultado é o que vemos: dado pessoal virou commodity, fraude cresce uma a cada 2,3 segundos, e 83% das empresas não têm sequer um executivo dedicado à segurança. Na Tech86, nós ajudamos empresas a sair do papel, classificar dados, estruturar resposta a incidentes, investir proporcional ao risco e dar visibilidade ao board. Sem consequência, o próximo vazamento é só questão de tempo e preço.