Criminosos criam "loja online" de dados pessoais para golpistas

São Paulo - Análises da empresa de inteligência cibernética Apura Cyber Intelligence encontraram um verdadeiro mercado ilegal de dados pessoais. Informações obtidas em vazamentos são disponibilizadas em plataformas de consulta online, a poucos cliques de golpistas. 

O CEO da Apura, Sandro Süffert, explica que esses painéis funcionam como agregadores de informação. A partir de um CPF ou número de telefone, é possível reunir dados cadastrais, histórico financeiro, registros de documentos e outras informações que permitem validar a identidade de uma pessoa facilmente. 

Essas identidades são então utilizadas em golpes virtuais, escolhendo as vítimas e preparando um disfarce confiável por meio das informações compradas. 

Não estamos lidando apenas com o roubo de dados, mas com a sua industrialização. Esses painéis reduzem drasticamente o esforço do golpista. O que antes levava dias de pesquisa agora é entregue em segundos".

Como as informações são obtidas

O funcionamento dessas estruturas depende de diferentes falhas técnicas. Entre elas, estão repositórios de código expostos em plataformas de desenvolvimento nos quais credenciais e chaves de acesso à bancos de dados corporativos acabam sendo publicadas. 

Outro método recorrente é o uso de registros capturados por malwares, que coletam credenciais armazenadas em computadores e celulares infectados.

“Serviços mal configurados e diretórios expostos para a Internet permitem que criminosos não apenas acessem dados, mas também construam suas próprias camadas de consulta”, diz Sandro Süffert.

Ferramentas de anonimização e redes de proxy ajudam a mascarar a origem das requisições e a manter esses serviços ativos.

SegundoSüffert, a investigação começou em 2025 e deve ser concluída em 2026, com um estudo sobre a arquitetura técnica dessas redes. Na análise da empresa, o enfrentamento do problema exige medidas que ultrapassem a remoção pontual de sites clandestinos.

O executivo defende que as empresas e órgãos públicos devem investir no monitoramento da exposição de seus servidores e aplicações, na revisão de controles de acesso e identificação preventiva de vazamentos de credenciais e código fonte.

Se não atacarmos a infraestrutura que permite a reutilização desses dados, estaremos apenas reagindo aos sintomas. A fraude digital hoje opera como um sistema estruturado, com logística, ferramentas e escala”, diz.

*Estagiário sob supervisão de Luana Pavani