279 milhões de CPFs. Mais que a população inteira do Brasil — porque inclui falecidos. Em julho de 2026, segundo um anúncio no fórum criminoso breached.su, uma base com 279 milhões de registros de CPF foi oferecida por 10.000 dólares. Nós acompanhamos o caso e o sinal é claro: o dado pessoal virou commodity, o preço está em queda livre, e a ausência de consequência sustenta o problema.
O incidente de julho: 279 milhões de CPFs no breached.su
Segundo o anúncio no fórum criminoso breached.su, a base reivindicada continha 279 milhões de registros de CPF, oferecida por 10.000 dólares. A Receita Federal negou qualquer comprometimento de seus sistemas e apontou um servidor da ANCINE com backup legado de 2019. Segundo a ANCINE, houve ataque à sua infraestrutura, mas nenhum dado protegido por sigilo fiscal foi comprometido. A ANPD não se pronunciou publicamente sobre o caso.
Este é o terceiro incidente do gênero em 2026. Em abril, segundo listagens reportadas em fóruns, o MORGUE ofereceu 251 milhões de CPFs por 500 dólares. Em junho, uma base de 248 milhões apareceu por 1.300 dólares. Em julho, 279 milhões por 10.000 dólares. O dado pessoal virou commodity. E o preço está em queda livre.
O preço em queda livre: 80 vezes mais barato em cinco anos
Em 2021, segundo dados reportados da dark web, a base da Serasa com 223 milhões de CPFs custava 40.000 dólares. Hoje, 251 milhões custam 500 dólares. A barreira de entrada caiu 80 vezes em cinco anos.
O Brasil tem um padrão recorrente de megavazamentos. 2021: Serasa, 223 milhões. 2026: MORGUE, 251 milhões. Depois 248 milhões. Depois 279 milhões. Sempre superando a população viva porque inclui falecidos — o que é normal para bases de CPF. O problema não é o tamanho da base. É que cada novo vazamento reduz o preço de mercado do dado já comprometido.
A LGPD no papel e a autoavaliação que sustenta o problema
A LGPD exige notificação de incidente em 3 dias úteis. Mas a avaliação de "risco ou dano relevante" fica a cargo da própria empresa. O caso iFood é o exemplo: em dezembro de 2025, segundo o incidente reportado, a empresa descobriu um vazamento e não comunicou à ANPD nem aos titulares. Interpretou que não houve risco relevante. 1,2 milhão de usuários afetados.
A ANPD aplicou a primeira multa financeira da história em julho de 2023. Telekall, uma microempresa de telefonia. 14.400 reais. Até 2026, é a única empresa privada efetivamente multada. Só em 2023, segundo dados reportados, a Europa aplicou 1,78 bilhão de euros em multas GDPR. A diferença não é de legislação — é de consequência efetiva.
A fraude que cresce enquanto a consequência não vem
Enquanto isso, as fraudes crescem. Segundo dados reportados, 6,9 milhões de tentativas no primeiro semestre de 2025 — uma a cada 2,3 segundos. O setor bancário responde por 53,7%. Segundo o Banco Central, o BC Protege+, lançado em dezembro de 2025, já bloqueou 255 mil tentativas de abertura de contas fraudulentas.
A maturidade cyber das empresas brasileiras conta o resto da história. Segundo dados de survey, apenas 5% atingiram nível maduro. 77% investem menos de 1% da receita em cibersegurança. 83% não têm executivo dedicado à segurança da informação. Quando a Tech86 implementa programas de segurança para clientes no Brasil, o diagnóstico inicial quase sempre revela o mesmo padrão: dados pessoais sem classificação, incidentes sem resposta estruturada, boards sem visibilidade de risco cyber. A LGPD existe no papel. A prática ainda não acompanhou.
Conclusão: o vazamento expõe o dado, a ausência de consequência sustenta o problema
279 milhões de CPFs a 10.000 dólares. O vazamento expõe o dado. A ausência de consequência sustenta o problema. A barreira de entrada caiu 80 vezes em cinco anos, a primeira multa da história foi 14.400 reais em uma microempresa, e a única empresa privada efetivamente multada até 2026 continua sendo a mesma. A LGPD exige notificação em 3 dias úteis, mas deixa a definição de "risco relevante" para quem vaza. O resultado é o que vemos: dado pessoal virou commodity, fraude cresce uma a cada 2,3 segundos, e 83% das empresas não têm sequer um executivo dedicado à segurança. Na Tech86, nós ajudamos empresas a sair do papel — classificar dados, estruturar resposta a incidentes, investir proporcional ao risco e dar visibilidade ao board. Sem consequência, o próximo vazamento é só questão de tempo e preço.