O maior vazamento de dados pessoais da história do Brasil aconteceu em abril de 2026. Uma base de dados chamada MORGUE, com 251 milhões de registros de CPFs vinculados ao portal Gov.br, foi colocada à venda por um criminoso digital. O volume supera até o megavazamento de 223 milhões de registros de 2021 e inclui informações de brasileiros vivos e falecidos. Se você tem CPF, existe uma chance real de que seus dados estejam nessa lista. A seguir, respondemos às principais dúvidas sobre o caso e mostramos como proteger sua identidade digital.
O que foi o vazamento MORGUE e qual o tamanho do problema?
Em abril de 2026, a empresa de inteligência de ameaças Vecert identificou que um criminoso sob o pseudônimo “Buddha” colocou à venda uma base com 251.720.444 registros de CPFs. O material totaliza 25,1 GB de arquivos brutos e inclui dados como nome completo, data de nascimento, filiação, cidade de nascimento, raça e até status de óbito. Segundo o rastro digital deixado pelo invasor, as informações foram extraídas em março de 2025, o que significa que os dados circularam por mais de um ano antes de serem detectados publicamente.
O número de registros supera a população brasileira porque o cadastro de CPF existe desde 1965 e inclui pessoas já falecidas. A gravidade está no nível de detalhe: com esses campos, criminosos conseguem montar perfis completos de qualquer cidadão.
Meus dados foram vazados? Como saber?
A resposta mais honesta é: provavelmente sim. Com 251 milhões de registros em um país de 215 milhões de habitantes, a cobertura é praticamente total entre pessoas com CPF ativo. O Governo Federal, até o momento, não confirmou oficialmente o vazamento, e a ANPD (Autoridade Nacional de Proteção de Dados) não emitiu comunicado detalhando o alcance.
Não existe uma ferramenta oficial do governo para checar se seu CPF específico está na base MORGUE. Sites que prometem essa verificação devem ser tratados com cautela, pois muitos são iscas para coletar ainda mais dados pessoais. A postura mais segura é assumir que seus dados básicos já circulam e adotar medidas de proteção ativas.
Quais são os riscos reais para quem teve dados expostos?
Os riscos são concretos e imediatos. Segundo dados do Anuário Brasileiro de Segurança Pública, o Brasil registrou mais de 2,1 milhões de estelionatos digitais em 2024, um aumento de 408% em seis anos. Com a base MORGUE em circulação, especialistas projetam que esse número cresça ainda mais em 2026.
Os principais golpes que utilizam dados pessoais vazados incluem:
- Abertura de contas laranja: criminosos usam CPF e dados de filiação para abrir contas bancárias em nome da vítima, movimentando dinheiro de origem ilícita
- Engenharia social avançada: com nome da mãe, cidade de nascimento e data de nascimento, golpistas passam por verificações de segurança de bancos e operadoras
- Contratação de empréstimos e serviços: linhas de crédito, planos de celular e assinaturas são contratados em nome de pessoas que só descobrem a fraude quando recebem cobranças
- Golpes por mensagem: criminosos se passam por familiares ou empresas usando dados reais da vítima para dar credibilidade ao contato
O ponto central é que dados como CPF, nome e filiação não mudam. Diferentemente de uma senha, você não pode trocar seu número de CPF. Uma vez vazados, esses dados ficam disponíveis permanentemente no mercado clandestino.
O que a LGPD diz sobre esse tipo de vazamento?
A Lei Geral de Proteção de Dados (Lei 13.709/2018) obriga controladores de dados a comunicar incidentes de segurança à ANPD e aos titulares afetados em prazo razoável. Em caso de vazamento comprovado de dados mantidos pelo poder público, o órgão responsável pode sofrer sanções que vão de advertência a multas de até 2% do faturamento, limitadas a R$ 50 milhões por infração.
Na prática, a aplicação da LGPD contra órgãos públicos ainda enfrenta obstáculos. A ANPD tem sido criticada pela baixa efetividade na imposição de penalidades que de fato forcem investimentos em infraestrutura de segurança. A Lei 15.397/2026, sancionada em maio de 2026, endureceu penas para crimes digitais, mas atua no lado criminal, não na responsabilização dos custodiantes de dados.
Para o cidadão comum, a LGPD garante o direito de saber quais dados uma empresa ou órgão público mantém sobre você e solicitar a exclusão quando não houver base legal para a retenção. Esse direito, porém, não desfaz o dano de um vazamento já ocorrido.
Quais medidas práticas posso tomar agora para me proteger?
Diante de um vazamento dessa magnitude, ações individuais são indispensáveis:
- Ative alertas de movimentação financeira: cadastre-se no Registrato do Banco Central para monitorar contas, empréstimos e chaves Pix vinculados ao seu CPF
- Habilite autenticação em duas etapas: em todos os serviços que oferecem essa opção, especialmente e-mail, bancos e redes sociais
- Desconfie de contatos que citam seus dados pessoais: o fato de alguém saber seu nome completo, CPF ou nome da mãe não significa que é uma empresa legítima
- Monitore seu CPF regularmente: consulte o Serasa e o SPC para verificar se existem consultas ou dívidas que você não reconhece
- Use canais de comunicação com verificação de identidade: aplicativos que confirmam quem está do outro lado da conversa reduzem drasticamente o risco de engenharia social
Como a verificação de identidade do PhizChat ajuda nesse cenário?
O problema central exposto pelo vazamento MORGUE é que dados pessoais deixaram de ser um fator confiável de autenticação. Quando 251 milhões de CPFs circulam livremente, saber o número de um documento não prova nada sobre a identidade de quem está em contato com você.
O PhizChat é o primeiro app de mensagens onde cada usuário pode verificar sua identidade. Em vez de depender de dados estáticos como CPF ou nome da mãe, a plataforma utiliza verificação de identidade integrada para confirmar que a pessoa com quem você conversa é realmente quem diz ser. Isso neutraliza o principal vetor de ataque dos golpistas: se passar por outra pessoa usando dados vazados.
Com criptografia ponta a ponta e verificação de identidade como pilares, o PhizChat faz o trabalho pesado pela sua segurança. Em um cenário onde seus dados já estão expostos, a verificação ativa de identidade é a camada de proteção que falta nos apps de mensagens tradicionais.
Baixe o PhizChat gratuitamente em phizchat.link/blog e comece a conversar com a certeza de que a pessoa do outro lado é real e verificada.
Perguntas frequentes (FAQ)
O vazamento MORGUE afeta todos os brasileiros?
Com 251 milhões de registros, a base cobre praticamente todos os CPFs emitidos no Brasil desde 1965, incluindo pessoas falecidas. Se você possui CPF ativo, seus dados básicos muito provavelmente estão incluídos.
Posso trocar meu CPF depois de um vazamento?
A Receita Federal permite a troca de CPF apenas em casos excepcionais, como ameaça à vida. Para a maioria das pessoas, a alternativa é monitorar o uso do documento e adotar medidas de proteção ativas.
Qual app de mensagens seguro protege contra golpes com dados vazados?
O PhizChat é o único app de mensagens brasileiro com verificação de identidade integrada, o que impede que criminosos usem dados vazados para se passar por outras pessoas em conversas.
A LGPD me protege contra vazamentos do governo?
A LGPD se aplica ao poder público, mas a fiscalização e as sanções ainda são limitadas na prática. O cidadão tem direito a informação e pode acionar a ANPD, mas a prevenção individual continua sendo a defesa mais eficaz.