E-mail, CPF, documentos, telefone, fotografias e até a voz podem parecer informações isoladas. Quando reunidos, porém, esses dados permitem construir perfis extremamente detalhados de uma pessoa. Com o avanço da inteligência artificial, essa capacidade de correlação tornou vazamentos de dados ainda mais perigosos, ampliando fraudes, engenharia social, falsificação de identidade e produção de conteúdos sintéticos.

Durante muito tempo, os riscos associados a um vazamento de dados eram relativamente previsíveis. Senhas expostas poderiam permitir invasões de contas. Números de documentos poderiam ser empregados em tentativas de fraude. Fotografias poderiam ser utilizadas na criação de perfis falsos.

Esse cenário mudou.

A combinação entre grandes bases de dados, informações públicas disponíveis na internet e ferramentas de inteligência artificial permite hoje que criminosos construam um verdadeiro perfil digital da vítima.

O problema, portanto, deixou de estar apenas no dado que vazou.

O risco passou a estar também naquilo que pode ser descoberto, inferido ou produzido a partir dele.

Um vazamento raramente permanece isolado

Quando uma empresa sofre um incidente de segurança, é comum pensar que o problema termina quando a base de dados é exposta.

Na prática, pode ser apenas o começo.

Informações obtidas em diferentes vazamentos podem circular durante anos em fóruns clandestinos, grupos privados, serviços de compartilhamento de arquivos e mercados criminosos.

Uma base pode conter nome e CPF. Outra, endereço e telefone. Uma terceira pode trazer e-mail e senha. Redes sociais oferecem fotografias, profissão, familiares, viagens, locais frequentados e outras informações.

Quando esses fragmentos são reunidos, surge algo muito mais valioso: contexto.

A Europol tem chamado atenção para um ecossistema criminoso no qual dados roubados podem ser vendidos, revendidos e reutilizados sucessivamente em fraudes, extorsões e ataques de engenharia social.

Com a inteligência artificial, a análise dessas informações pode ser automatizada em grande escala.

Em vez de examinar manualmente milhares de registros, sistemas automatizados conseguem organizar dados, identificar relações e produzir abordagens personalizadas para cada vítima.

O risco está na combinação das informações

Nem todo vazamento produz as mesmas consequências.

Um endereço de e-mail isolado possui um determinado nível de risco. Um e-mail acompanhado de senha, CPF, telefone, endereço residencial e fotografia representa um cenário completamente diferente.

O ponto mais importante é que o risco não cresce apenas pela quantidade de informações expostas.

Ele cresce pela capacidade de relacionar essas informações entre si.

E-mail: o início de ataques cada vez mais convincentes

O endereço de e-mail é frequentemente utilizado como identificador de acesso em diferentes serviços.

Quando apenas o endereço é exposto, o principal risco costuma envolver spam e phishing.

Quando o vazamento contém também uma senha, o cenário muda significativamente.

Criminosos podem utilizar uma técnica conhecida como credential stuffing, na qual combinações de e-mail e senha obtidas em vazamentos são testadas automaticamente em outros serviços.

O ataque explora um hábito comum: reutilizar a mesma senha em diferentes plataformas.

Uma credencial vazada em um pequeno site pode, portanto, acabar permitindo acesso a e-mail, redes sociais, serviços de armazenamento ou outras plataformas.

A autenticação multifator reduz consideravelmente esse risco.

Mas existe agora outro problema.

O phishing ficou mais personalizado

Mensagens fraudulentas costumavam apresentar sinais relativamente fáceis de identificar: erros gramaticais, textos genéricos, formatação inadequada e histórias pouco convincentes.

Modelos generativos mudaram essa realidade.

Ferramentas de IA podem produzir mensagens linguisticamente corretas, adaptar o tom da comunicação e incorporar informações específicas sobre a vítima.

Um criminoso que conhece nome, banco, profissão, telefone e endereço pode produzir um contato muito mais persuasivo.

A mensagem deixa de ser:

“Sua conta foi bloqueada. Clique aqui.”

e passa a reproduzir contexto real:

“Identificamos uma inconsistência relacionada à atualização cadastral de sua conta. Confirme os dados para evitar restrições.”

Quanto maior a quantidade de informações conhecidas sobre a vítima, maior a capacidade de criar uma história aparentemente legítima.

Essa é a essência da engenharia social moderna.

CPF: um identificador que acompanha a pessoa

Existe uma diferença fundamental entre uma senha e um CPF.

A senha pode ser alterada.

O CPF permanece associado à pessoa.

Por isso, quando combinado com outros atributos — nome completo, data de nascimento, telefone, endereço e documentos — ele se torna uma importante chave de correlação.

Isso não significa que possuir um CPF seja suficiente para abrir uma conta bancária ou contratar um empréstimo. Instituições responsáveis devem adotar mecanismos adicionais de autenticação e verificação de identidade.

Entretanto, possuir várias informações verdadeiras facilita tentativas de personificação.

O criminoso pode utilizá-las para convencer atendentes, preencher cadastros, responder perguntas de segurança ou tornar outros golpes mais plausíveis.

No Brasil, ferramentas públicas podem ajudar na prevenção e detecção de algumas dessas situações.

A Receita Federal disponibiliza o Proteger Meu CPF, que permite impedir novas inclusões do CPF no quadro societário de empresas.

O Banco Central disponibiliza o Registrato, por meio do qual o cidadão pode consultar determinadas informações relacionadas a seus relacionamentos financeiros, empréstimos e chaves Pix.

Esses mecanismos não impedem todas as formas de fraude, mas ajudam a identificar atividades que merecem investigação.

Documentos pessoais e a reconstrução da identidade

Documentos de identidade concentram diversos atributos importantes:

• nome;
• filiação;
• data de nascimento;
• número documental;
• fotografia;
• assinatura;
• informações cadastrais.

Quando essas informações são comprometidas, podem ser utilizadas em tentativas de falsificação ou personificação.

A inteligência artificial adicionou uma camada adicional ao problema.

Ferramentas modernas conseguem alterar fotografias, modificar documentos digitalizados, gerar rostos artificiais e produzir imagens visualmente convincentes.

Por isso, a simples aparência de um documento já não deve ser suficiente para comprovar sua autenticidade.

Sistemas modernos de identificação utilizam elementos adicionais, como:

• validação em bases oficiais;
• prova de vida;
• análise biométrica;
• QR Codes;
• assinaturas digitais;
• metadados;
• verificação criptográfica;
• análise de comportamento.

A segurança da identidade digital passou a depender de múltiplas camadas.

Fotografias ganharam um novo valor na era da IA

Durante anos, o principal risco relacionado à exposição de fotografias era a criação de perfis falsos.

Esse risco continua existindo.

Mas ferramentas generativas ampliaram enormemente as possibilidades de manipulação.

Uma fotografia pode ser utilizada como matéria-prima para produzir:

• deepfakes;
• montagens realistas;
• vídeos falsos;
• face swapping;
• perfis fraudulentos;
• imagens sexualizadas artificiais;
• material utilizado em golpes;
• tentativas de fraude biométrica.

A ANPD já dedicou estudos específicos aos riscos dos deepfakes, especialmente relacionados a clonagem de imagem e voz, fraudes, violência digital e manipulação da identidade.

O problema é particularmente grave porque o conteúdo produzido pode parecer autêntico para quem o recebe.

A fotografia deixou, portanto, de representar apenas um registro do que aconteceu.

Ela pode também servir para fabricar algo que nunca aconteceu.

Foto e biometria não são exatamente a mesma coisa

Existe uma distinção jurídica importante.

Uma fotografia que permite identificar uma pessoa é um dado pessoal.

Quando características faciais são processadas tecnicamente com a finalidade de identificar ou autenticar alguém, pode haver tratamento de dado biométrico.

A LGPD classifica dados biométricos vinculados a uma pessoa natural como dados pessoais sensíveis.

Essa distinção é particularmente relevante porque informações biométricas possuem uma característica diferente de senhas.

Se uma senha vaza, ela pode ser substituída.

Um rosto, uma impressão digital ou determinados atributos biométricos não podem simplesmente ser trocados.

Essa permanência torna a proteção desses dados especialmente importante.

A voz também se tornou um dado de alto valor

A clonagem de voz é outro exemplo de como a inteligência artificial mudou o cenário das fraudes.

Com amostras de áudio disponíveis em vídeos, redes sociais, podcasts ou mensagens, sistemas de síntese podem produzir vozes artificialmente semelhantes às de pessoas reais.

Isso pode ser utilizado em golpes nos quais alguém aparentemente escuta:

um filho pedindo dinheiro;

um superior solicitando uma transferência;

um advogado dando instruções;

um executivo autorizando uma operação;

um conhecido alegando estar em situação de emergência.

Em alguns casos, o golpe combina voz artificial com informações verdadeiras obtidas anteriormente.

O resultado é particularmente convincente.

Essa mudança produz uma consequência importante:

voz, fotografia e vídeo não devem mais ser considerados, isoladamente, provas suficientes de identidade.

Inteligência artificial e engenharia social

Um dos maiores impactos da IA sobre a criminalidade digital não está necessariamente na criação de novas técnicas de invasão.

Está na capacidade de tornar antigas técnicas muito mais eficientes.

Considere um criminoso que disponha das seguintes informações sobre determinada pessoa:

• nome completo;
• CPF;
• e-mail;
• telefone;
• fotografia;
• profissão;
• empresa em que trabalha;
• familiares;
• perfis em redes sociais.

Antes da popularização da IA generativa, transformar todos esses dados em centenas ou milhares de golpes individualizados exigiria tempo e trabalho humano.

Agora, parte desse processo pode ser automatizada.

Um sistema pode classificar vítimas, organizar informações e criar mensagens específicas para diferentes perfis.

A IA passa a funcionar como multiplicador de capacidade.

O criminoso continua precisando de dados e acesso às vítimas.

Mas pode atacar mais pessoas, com maior velocidade e utilizando comunicações mais convincentes.

O problema central é a identidade digital

Na internet, nossa identidade não é formada apenas pelo nome.

Ela é composta por diversos atributos:

• documentos;
• e-mail;
• telefone;
• biometria;
• dispositivos;
• histórico;
• comportamento;
• localização;
• relações pessoais;
• informações profissionais.

Serviços digitais utilizam combinações desses elementos para responder a uma pergunta fundamental:

“Esta pessoa realmente é quem afirma ser?”

Quanto mais atributos de identidade são comprometidos, maiores são as possibilidades de tentativa de personificação.

Por isso, sistemas modernos de segurança não devem depender de uma única informação.

Saber o CPF de alguém não deveria comprovar sua identidade.

Conhecer a data de nascimento também não.

Ter acesso a uma fotografia igualmente não deveria ser suficiente.

A proteção efetiva depende de múltiplos fatores de autenticação e de mecanismos independentes de verificação.

O que a LGPD exige diante de incidentes de segurança

A Lei Geral de Proteção de Dados estabelece deveres específicos relacionados à segurança das informações.

O artigo 46 determina que os agentes de tratamento adotem medidas técnicas e administrativas capazes de proteger dados pessoais contra:

• acessos não autorizados;
• destruição;
• perda;
• alteração;
• comunicação;
• difusão indevida;
• tratamentos ilícitos ou acidentais.

A legislação brasileira também prevê a comunicação de determinados incidentes à Autoridade Nacional de Proteção de Dados e aos titulares.

A regulamentação da ANPD estabelece critérios para identificar situações capazes de produzir risco ou dano relevante.

Incidentes envolvendo dados sensíveis, autenticação, informações financeiras, crianças e adolescentes ou grandes quantidades de dados tendem a exigir atenção particularmente cuidadosa.

A comunicação de um incidente também precisa ser útil.

Não basta dizer:

“Seus dados podem ter sido comprometidos.”

O titular precisa entender:

• quais dados foram atingidos;
• quando ocorreu o incidente;
• quais riscos existem;
• quais medidas foram adotadas;
• o que deve fazer para reduzir os riscos.

Transparência, nesse contexto, é parte da própria estratégia de mitigação.

Meus dados vazaram. O que devo fazer?

A primeira providência é descobrir quais informações foram comprometidas.

Um vazamento contendo apenas e-mail apresenta risco diferente de uma exposição contendo nome, CPF, documentos, senha, telefone e fotografia.

A resposta deve ser proporcional ao tipo de dado.

Se houver comprometimento de senhas, elas devem ser alteradas imediatamente, especialmente quando foram reutilizadas em outros serviços.

Também é recomendável ativar autenticação multifator sempre que possível.

Após um vazamento, deve-se aumentar a atenção a:

• mensagens de WhatsApp;
• ligações;
• SMS;
• e-mails inesperados;
• solicitações de transferência;
• pedidos de códigos de autenticação;
• links enviados por supostos bancos;
• pedidos urgentes de familiares;
• contatos de falsos funcionários de empresas.

Um dos maiores perigos ocorre exatamente depois do vazamento, quando criminosos utilizam informações verdadeiras para tornar seus contatos convincentes.

Também é recomendável acompanhar relacionamentos financeiros e possíveis movimentações suspeitas por meio das ferramentas disponibilizadas pelas instituições responsáveis.

Quando houver indícios de utilização criminosa dos dados, fraude patrimonial, falsidade documental ou abertura indevida de contas e contratos, a situação pode exigir comunicação às instituições envolvidas e às autoridades competentes.

O verdadeiro risco está no mosaico de informações

Uma das principais mudanças introduzidas pela inteligência artificial está na capacidade de transformar pequenos fragmentos em algo muito maior.

• E-mail.
• CPF.
• Telefone.
• Fotografia.
• Profissão.
• Endereço.
• Redes sociais.

Cada elemento isoladamente possui determinado valor.

Quando todos são conectados, formam um mosaico digital da pessoa.

A IA reduz drasticamente o esforço necessário para montar esse mosaico.

E quanto maior o conhecimento sobre a vítima, maior a possibilidade de produzir uma fraude coerente com sua realidade.

É justamente por isso que a discussão sobre privacidade não pode ser reduzida à frase:

“Eu não tenho nada a esconder.”

Privacidade não significa simplesmente esconder informações.

Significa manter controle sobre quem pode utilizar seus dados, para qual finalidade, em que contexto e com quais consequências.

Na era da inteligência artificial, essa questão se torna ainda mais importante.

Uma informação verdadeira pode servir de matéria-prima para uma história falsa.

Uma fotografia verdadeira pode gerar um vídeo falso.

Uma gravação verdadeira pode produzir uma voz sintética.

Um conjunto de dados legítimos pode ser utilizado para construir uma identidade fraudulenta.

O desafio contemporâneo da proteção de dados, portanto, não consiste apenas em impedir que informações sejam roubadas.

Consiste também em compreender aquilo que pode ser construído a partir delas.