Dados pessoais de brasileiros obtidos em vazamentos e acessos indevidos estão sendo organizados e comercializados por meio de plataformas estruturadas de consulta, ampliando a capacidade de atuação de criminosos digitais. A constatação faz parte de análises conduzidas pela Apura Cyber Intelligence sobre o mercado clandestino de informações pessoais no país.

Segundo a empresa, o problema deixou de se limitar à circulação de bancos de dados em fóruns clandestinos. Criminosos passaram a utilizar sistemas semelhantes a mecanismos de busca, nos quais informações provenientes de diferentes vazamentos são reunidas e disponibilizadas para consulta rápida.

“Essas plataformas funcionam como sistemas de busca alimentados por bases de dados obtidas em diferentes incidentes de segurança ao longo dos últimos anos, além de acesso não autorizado a APIs de diferentes organizações”, explica Sandro Süffert, CEO da Apura.

De acordo com ele, informações provenientes de sistemas administrativos, cadastros financeiros e bancos de dados públicos e privados podem ser consolidadas em uma única interface. Com isso, uma consulta realizada a partir de dados como CPF ou número de telefone pode reunir diferentes informações sobre uma mesma pessoa.

A investigação identificou ainda que nem todo o material disponível nesses ambientes resulta de vazamentos recentes. Bancos de dados antigos continuam circulando, são reutilizados e podem ser combinados com informações obtidas posteriormente.

Na avaliação da Apura, esse processo tornou a exploração criminosa dos dados mais rápida e organizada. Informações cadastrais, registros de documentos, histórico financeiro e outros dados podem ser correlacionados para auxiliar na validação da identidade de potenciais vítimas.

“Não estamos lidando apenas com o roubo de dados, mas com a sua industrialização. Esses painéis reduzem drasticamente o esforço do golpista. O que antes levava dias de pesquisa agora é entregue em segundos”, afirma Süffert.

A manutenção dessas estruturas, segundo a investigação, está relacionada a diferentes vulnerabilidades de segurança. Entre elas estão repositórios de código expostos em plataformas de desenvolvimento, nos quais credenciais e chaves de acesso a bancos de dados corporativos podem ser publicadas inadvertidamente.

Outro problema identificado é o uso de informações capturadas por malwares do tipo stealer, programas maliciosos utilizados para obter credenciais armazenadas em computadores e celulares infectados. Essas informações podem permitir acessos indevidos a sistemas corporativos e serviços internos.

Servidores configurados inadequadamente e diretórios expostos na internet também podem contribuir para a extração de informações e a formação de novas bases clandestinas. Ferramentas de anonimização e redes de proxy, por sua vez, são utilizadas para dificultar a identificação da origem das consultas.

A Apura afirma ter identificado, ao longo de 2025, uma evolução nesse mercado: grupos passaram a oferecer acesso às bases por meio de APIs, interfaces utilizadas normalmente para permitir a comunicação e integração entre sistemas.

Nesse modelo, o acesso aos dados pode ser comercializado em marketplaces digitais que apresentam características semelhantes às de ambientes destinados ao desenvolvimento de software. A mudança permite automatizar consultas e processar grandes quantidades de informações, reduzindo ainda mais a necessidade de buscas manuais.

Com a integração dessas APIs a programas automatizados, fraudadores conseguem consultar dados em escala e utilizar as informações para alimentar diferentes modalidades de golpes. Entre os registros disponíveis podem estar dados cadastrais, informações financeiras, vínculos familiares e outros elementos correlacionados a partir de múltiplas fontes.

A investigação iniciada pela Apura em 2025 deverá ser concluída em 2026, com um estudo sobre a arquitetura técnica utilizada por essas redes. Para a empresa, o enfrentamento do mercado clandestino exige medidas que vão além da retirada pontual de sites do ar.

Entre as providências defendidas estão o monitoramento da exposição de servidores e aplicações, a revisão de controles de acesso e a identificação preventiva de vazamentos de credenciais e códigos-fonte. A discussão também envolve a atuação de empresas e órgãos públicos responsáveis pelo tratamento e armazenamento de informações pessoais.

“Se não atacarmos a infraestrutura que permite a reutilização desses dados, estaremos apenas reagindo aos sintomas. A fraude digital hoje opera como um sistema estruturado, com logística, ferramentas e escala”, conclui Süffert.