279 millones de CPFs. Más que toda la población de Brasil, porque incluye fallecidos. En julio de 2026, según un anuncio en el foro criminal breached.su, una base con 279 millones de registros de CPF fue ofrecida por 10.000 dólares. Seguimos el caso y la señal es clara: el dato personal se convirtió en commodity, el precio está en caída libre, y la ausencia de consecuencia sostiene el problema.
El incidente de julio: 279 millones de CPFs en breached.su
Según el anuncio en el foro criminal breached.su, la base reclamada contenía 279 millones de registros de CPF, ofrecidos por 10.000 dólares. La Receita Federal negó cualquier compromiso de sus sistemas y señaló un servidor de la ANCINE con backup legado de 2019. Según la ANCINE, hubo un ataque a su infraestructura, pero ningún dato protegido por sigilo fiscal fue comprometido. La ANPD no se pronunció públicamente sobre el caso.
Este es el tercer incidente de este tipo en 2026. En abril, según listados reportados en foros, MORGUE ofreció 251 millones de CPFs por 500 dólares. En junio, una base de 248 millones apareció por 1.300 dólares. En julio, 279 millones por 10.000 dólares. El dato personal se convirtió en commodity. Y el precio está en caída libre.
El precio en caída libre: 80 veces más barato en cinco años
En 2021, según datos reportados de la dark web, la base de Serasa con 223 millones de CPFs costaba 40.000 dólares. Hoy, 251 millones cuestan 500 dólares. La barrera de entrada cayó 80 veces en cinco años.
Brasil tiene un patrón recurrente de megafugas. 2021: Serasa, 223 millones. 2026: MORGUE, 251 millones. Después 248 millones. Después 279 millones. Siempre superando la población viva porque incluyen fallecidos, algo normal para bases de CPF. El problema no es el tamaño de la base. Es que cada nueva fuga reduce el precio de mercado del dato ya comprometido.
La LGPD en el papel y la autoevaluación que sostiene el problema
La LGPD exige notificar el incidente en 3 días hábiles. Pero la evaluación de "riesgo o daño relevante" queda a criterio de la propia empresa. El caso iFood es el ejemplo: en diciembre de 2025, según el incidente reportado, la empresa descubrió una fuga y no comunicó a la ANPD ni a los titulares. Interpretó que no hubo riesgo relevante. 1,2 millones de usuarios afectados.
La ANPD aplicó la primera multa económica de la historia en julio de 2023. Telekall, una microempresa de telefonía. 14.400 reales. Hasta 2026, es la única empresa privada efectivamente multada. Solo en 2023, según datos reportados, Europa aplicó 1,78 mil millones de euros en multas GDPR. La diferencia no es de legislación, es de consecuencia efectiva.
El fraude que crece mientras la consecuencia no llega
Mientras tanto, los fraudes crecen. Según datos reportados, 6,9 millones de intentos en el primer semestre de 2025, uno cada 2,3 segundos. El sector bancario responde por el 53,7%. Según el Banco Central, el BC Protege+, lanzado en diciembre de 2025, ya bloqueó 255 mil intentos de apertura de cuentas fraudulentas.
La madurez ciber de las empresas brasileñas cuenta el resto de la historia. Según datos de encuestas, solo 5% alcanzó un nivel maduro. 77% invierte menos de 1% de sus ingresos en ciberseguridad. 83% no tiene un ejecutivo dedicado a la seguridad de la información. Cuando Tech86 implementa programas de seguridad para clientes en Brasil, el diagnóstico inicial casi siempre revela el mismo patrón: datos personales sin clasificar, incidentes sin respuesta estructurada, boards sin visibilidad de riesgo ciber. La LGPD existe en el papel. La práctica aún no la acompaña.
Conclusión: la fuga expone el dato, la ausencia de consecuencia sostiene el problema
279 millones de CPFs a 10.000 dólares. La fuga expone el dato. La ausencia de consecuencia sostiene el problema. La barrera de entrada cayó 80 veces en cinco años, la primera multa de la historia fue de 14.400 reales a una microempresa, y la única empresa privada efectivamente multada hasta 2026 sigue siendo la misma. La LGPD exige notificación en 3 días hábiles, pero deja la definición de "riesgo relevante" a quien filtra. El resultado es lo que vemos: el dato personal se convirtió en commodity, el fraude crece uno cada 2,3 segundos, y 83% de las empresas no tiene siquiera un ejecutivo dedicado a la seguridad. En Tech86, ayudamos a las empresas a salir del papel: clasificar datos, estructurar la respuesta a incidentes, invertir en proporción al riesgo y dar visibilidad al board. Sin consecuencia, la próxima fuga es solo cuestión de tiempo y precio.