O que fazer sem esperar uma confirmação definitiva
Estas medidas são úteis mesmo que seu CPF nunca tenha aparecido em nenhuma base. Elas reduzem o impacto de golpes e ajudam você a perceber movimentações estranhas mais cedo.
Páginas prometendo consulta gratuita, remoção de dados ou relatório completo podem ser novas armadilhas.
Ative a verificação em duas etapas no aplicativo oficial e revise os métodos de recuperação.
Confira contas, relacionamentos bancários, empréstimos e chaves Pix vinculadas ao seu CPF.
Use a proteção do Banco Central para dificultar a abertura fraudulenta de novas contas em seu nome.
O que sabemos sobre o suposto vazamento ligado à Receita Federal
Um grupo criminoso publicou a alegação de que teria obtido uma base com aproximadamente 279 milhões de registros associados a CPFs brasileiros. Na postagem, o grupo afirma que parte dos dados seria recente e menciona um arquivo com dezenas de gigabytes.
A Receita Federal, por outro lado, nega que seus sistemas tenham sido comprometidos e afirma que não houve vazamento de informações sob sua responsabilidade. Até a última atualização deste artigo, não havia uma análise técnica independente publicada capaz de comprovar a origem e a autenticidade integral da base anunciada.
Por isso, eu não vou chamar o caso de invasão confirmada. O tratamento responsável é este: existe uma alegação criminosa relevante, existe uma negativa oficial e ainda faltam evidências públicas conclusivas.
Quantidade informada pelo grupo responsável pela publicação.
O órgão afirma que seus sistemas e dados não foram afetados.
Não há validação pública conclusiva sobre toda a base anunciada.
O fato de o caso ainda não estar confirmado não significa que você deve ignorá-lo. Significa que precisamos separar notícia, alegação e prevenção sem transformar incerteza em pânico.
Como uma base pode ter mais registros do que a população brasileira
O número chama atenção, mas ele não significa necessariamente 279 milhões de pessoas vivas e diferentes. Bases cadastrais podem acumular registros históricos, CPFs cancelados, pessoas falecidas, duplicidades, inconsistências e dados preservados por muitos anos.
Na própria publicação criminosa aparecem alegações sobre diferentes situações cadastrais, incluindo registros regulares, suspensos, pendentes e cancelados. Isso ajuda a entender por que o total anunciado pode superar a população atual.
A quantidade, sozinha, não prova a origem da base. Ela também não permite concluir que todos os campos estejam corretos, atualizados ou relacionados a um sistema ativo. Esse é outro motivo para evitar títulos afirmando que a Receita Federal foi invadida como se isso já estivesse tecnicamente demonstrado.
Quais dados teriam sido expostos
Segundo a publicação atribuída ao grupo criminoso, o conjunto anunciado incluiria diferentes informações pessoais e cadastrais. Os campos mencionados são especialmente preocupantes porque podem tornar fraudes e abordagens de engenharia social muito mais convincentes.
CPF, nome completo, data de nascimento e nome da mãe.
Telefone, e-mail e outros dados usados para localizar a pessoa.
Logradouro, bairro, município, CEP e unidade federativa.
Status do CPF, datas de atualização e informações administrativas.
País, município de naturalidade e indicadores de residência no exterior.
Datas de inscrição, origem do cadastro e última atualização da carga.
Importante: esta lista reproduz o que foi alegado na publicação criminosa. Ela não confirma que todos os campos estejam presentes, corretos ou tenham sido obtidos diretamente de sistemas atuais da Receita Federal.
O que aparece na publicação do grupo criminoso
As imagens abaixo são apresentadas apenas para contextualizar o caso. Elas não devem ser interpretadas como validação técnica do conteúdo nem como prova definitiva da origem dos dados.
Além dos riscos legais e éticos, arquivos divulgados em ambientes criminosos podem conter malware, roubo de credenciais ou outras armadilhas.
O risco mais imediato são os golpes usando informações verdadeiras
Quando alguém recebe uma mensagem genérica dizendo “seu CPF está irregular”, é mais fácil desconfiar. Mas a história muda quando a mensagem traz nome completo, CPF, endereço, data de nascimento ou nome da mãe. A vítima pensa: “se sabe tudo isso, deve ser verdadeiro”.
É exatamente aí que mora o perigo. Dados pessoais podem ser usados para montar um cenário convincente e pressionar a pessoa a clicar em um link, instalar um aplicativo, enviar um código, fazer um Pix ou confirmar informações bancárias.
Mensagem dizendo que o documento será suspenso ou bloqueado se uma taxa não for paga.
Link prometendo consulta, antecipação ou liberação de um valor mediante cadastro.
Contato afirmando que a conta foi invadida e pedindo código, biometria ou instalação de aplicativo.
Ligação usando dados verdadeiros para convencer a vítima de que existe uma fraude em andamento.
Tentativa de usar documentos e dados pessoais para abrir relacionamento financeiro.
Abordagem personalizada usando parentesco, endereço ou outras informações para pedir dinheiro.
Recebeu uma mensagem usando seu CPF ou o nome da Receita Federal?
Não clique, não pague e não envie dados com pressa. Você pode falar comigo e explicar o que recebeu antes de tomar uma decisão.
Como proteger seu CPF, GOV.BR e contas agora
Eu organizei os próximos passos por prioridade. Não precisa fazer tudo correndo em cinco minutos. O importante é começar pelas contas que concentram acesso a outras áreas da sua vida digital.
Ative a verificação em duas etapas
No aplicativo oficial GOV.BR, acesse Segurança da conta e habilite a verificação em duas etapas. O código é gerado dentro do próprio aplicativo e não é enviado por SMS.
Abrir orientação oficial do GOV.BRProteja a conta usada para recuperar suas senhas
Crie uma senha única, ative autenticação em dois fatores, revise os dispositivos conectados e confira se não existe regra de encaminhamento que você desconhece.
Veja o que fazer quando uma senha vazaConfira contas, empréstimos e chaves Pix
Use o sistema do Banco Central para identificar contas que você não reconhece, compromissos financeiros e chaves Pix vinculadas ao seu CPF.
Acessar o Registrato no Banco CentralDificulte a abertura fraudulenta de novas contas
O serviço gratuito do Banco Central comunica ao sistema financeiro que você não deseja abrir novas contas enquanto a proteção estiver ativa.
Conhecer o BC PROTEGE+Impeça inclusão indevida do seu CPF em empresas
A ferramenta Permissão para Participar de CNPJ permite bloquear gratuitamente a inclusão do seu CPF em novos CNPJs até que você decida liberar novamente.
Abrir a proteção de participação em CNPJAtive o PIN e revise dispositivos conectados
Habilite a verificação em duas etapas, cadastre um e-mail seguro e desconecte aparelhos que você não reconhece.
Ver o guia completo de resgate do WhatsAppAtive alertas para qualquer movimentação
Habilite notificações de Pix, transferências, compras, novos dispositivos, alteração cadastral e solicitação de empréstimo.
Checklist de proteção para copiar
- Ativar a verificação em duas etapas no aplicativo GOV.BR.
- Trocar senhas repetidas e proteger o e-mail principal.
- Consultar contas, empréstimos e chaves Pix no Registrato.
- Ativar o BC PROTEGE+ enquanto não pretende abrir novas contas.
- Impedir participação indevida do CPF em novos CNPJs.
- Revisar dispositivos conectados ao WhatsApp e ao e-mail.
- Ativar alertas de movimentação nos bancos.
O que você não deve fazer depois de ver essa notícia
Na tentativa de se proteger, muita gente acaba entregando mais informação ou caindo em um segundo golpe. Evite estes caminhos:
Principalmente em sites recém-criados que prometem verificar se seus dados estão na lista.
Ninguém consegue garantir a exclusão de uma base que já tenha circulado entre criminosos.
Falsas centrais podem pedir acesso remoto ao celular ou ao computador.
Código de SMS, token, PIN ou confirmação do aplicativo pertence somente a você.
Bloqueio imediato, multa, prisão e perda de restituição são ameaças comuns para apressar a vítima.
Abra o aplicativo oficial ou digite o endereço verdadeiro diretamente no navegador.
Se você já clicou em uma página suspeita, não espere aparecer um problema para agir. Eu preparei um passo a passo específico para esse cenário.
Cliquei em um link suspeito: veja o que fazer agora →O que fazer se você encontrar uma conta, empréstimo ou acesso suspeito
Se apareceu algo que você não reconhece, pare de tratar o caso apenas como prevenção. A partir daí, você precisa preservar evidências e agir pelos canais oficiais.
Guarde prints, e-mails, números, links, horários, protocolos, chaves Pix e comprovantes.
Altere senhas, encerre sessões abertas e revise os métodos de recuperação.
Use o aplicativo, telefone oficial ou agência para comunicar a fraude e pedir bloqueio.
Peça protocolo e formalize que a operação, conta ou empréstimo não foi autorizado.
Quando houver uso indevido confirmado, documente o caso para apoiar as providências.
Não encerre o caso apenas porque a primeira ligação foi atendida. Guarde todos os protocolos.
Conta GOV.BR invadida: altere a senha, revise dispositivos autorizados e use os canais oficiais de recuperação ou bloqueio da conta.
Orientação para empresas alertarem seus colaboradores
Para empresas, o maior risco imediato é a engenharia social. Um golpista pode usar dados pessoais verdadeiros de um colaborador, sócio ou fornecedor para criar uma história muito mais convincente.
Eu recomendo um aviso curto, objetivo e sem sensacionalismo. Reforce principalmente que nenhum colaborador deve enviar senha, código, token, documento ou pagamento depois de um contato não solicitado.
São áreas frequentemente abordadas com falsas urgências fiscais e cadastrais.
Pedidos de pagamento ou alteração bancária precisam de validação independente.
Nenhum falso suporte deve instalar ferramentas no computador do colaborador.
É melhor o colaborador perguntar antes do clique do que comunicar depois do prejuízo.
Sua equipe recebeu uma mensagem suspeita usando CPF ou Receita Federal?
Se o contato chegou ao financeiro, RH ou a algum colaborador, eu posso analisar o caso e orientar os próximos passos antes que alguém clique, pague ou entregue dados.
Perguntas frequentes sobre o caso
A Receita Federal confirmou o vazamento?
Não. A Receita Federal nega que seus sistemas tenham sido comprometidos. Até a atualização deste artigo, também não havia confirmação técnica independente sobre a origem integral da base anunciada.
Existe um site oficial para saber se meu CPF está na base?
Não existe uma consulta oficial específica que confirme a presença do CPF nessa suposta base. Evite sites desconhecidos que prometem fazer essa verificação.
Preciso trocar todas as minhas senhas?
Comece pelas senhas fracas, repetidas ou usadas no e-mail principal. Senhas únicas e autenticação em dois fatores são medidas mais úteis do que trocar tudo por variações previsíveis.
O CPF sozinho permite acessar minha conta bancária?
O CPF sozinho não deveria permitir acesso, mas pode ser usado junto com outros dados para engenharia social, tentativas de recuperação de conta e fraude cadastral.
O BC PROTEGE+ bloqueia minhas contas atuais?
Não. A proteção é voltada a novas aberturas de contas e inclusões como titular ou representante. Suas contas existentes continuam funcionando normalmente.
O que faço se alguém ligar dizendo ser da Receita Federal?
Não informe códigos, senhas ou dados bancários e não faça pagamentos. Encerre o contato e confirme a situação acessando diretamente os canais oficiais.
Fontes oficiais e acompanhamento do caso
Este conteúdo será atualizado se surgirem novas evidências técnicas, comunicados oficiais ou orientações relevantes. Para medidas práticas de proteção, consulte sempre serviços e páginas oficiais.
Última atualização editorial: 21 de julho de 2026.
Continue protegendo suas contas
Segurança digital funciona melhor quando as proteções se conectam. Estes guias ajudam você a resolver os problemas mais comuns que aparecem depois de um vazamento ou golpe.
Minha senha vazou: o que fazer agora
Veja onde verificar exposições conhecidas e como trocar credenciais sem deixar outras contas vulneráveis.
Abrir o guia →
Clonaram meu WhatsApp: primeiras 2 horas
Um roteiro direto para recuperar a conta, avisar seus contatos, preservar evidências e reforçar a proteção.
Abrir o passo a passo →
Golpe da falsa central e voz clonada
Entenda como criminosos usam urgência, dados verdadeiros e imitação de voz para convencer a vítima.
Reconhecer o golpe →Não é hora de entrar em pânico. É hora de fechar as portas que um golpista tentaria usar.
Talvez a origem dessa base seja esclarecida nos próximos dias. Talvez apareçam novas evidências ou uma conclusão diferente. Mas você não precisa esperar isso acontecer para proteger suas contas.
Comece pelo GOV.BR, pelo e-mail e pelos bancos. Consulte o Registrato, avalie o BC PROTEGE+ e desconfie de qualquer contato que use medo ou urgência para pedir pagamento, senha ou código.
E guarde uma coisa: quem sabe seu CPF não prova que é quem diz ser. Hoje, esse dado pode estar sendo usado justamente para construir uma mentira mais convincente.
