🔓 O Que Aconteceu no Megavazamento de Setembro de 2026

Olá, eu sou Ronaldo Cardoso! No início de setembro de 2026, um site criminoso no dark web chamado Nexus começou a vender acesso a um banco de dados com mais de 153 milhões de documentos de identidade escaneados — carteiras de motorista, cartões de identidade, passaportes e até carteirinhas de plano de saúde. O jornalista de segurança Brian Krebs, referência mundial no assunto, confirmou que os dados eram reais ao encontrar a própria carteira de motorista dentro da base. A investigação aponta a IDScan.net, empresa americana de verificação de identidade usada por bares, locadoras de veículos e lojas que precisam confirmar idade do cliente, como a origem mais provável da falha. O FBI já abriu investigação sobre o caso.

📄 O Que Vazou de Verdade

Segundo o levantamento feito por pesquisadores de segurança e confirmado por veículos como TechCrunch e Malwarebytes, o pacote colocado à venda no Nexus inclui, no total:

• 153 milhões de carteiras de motorista;
• 10 milhões de cartões de identidade (RG e equivalentes);
• 3 milhões de passaportes e outros documentos de viagem;
• Cerca de 579 mil carteirinhas de saúde, incluindo autorizações usadas em farmácias e dispensários.

O detalhe mais grave não é só a quantidade: cada registro inclui a foto do documento (frente e verso) e, em muitos casos, os escaneamentos de luz infravermelha e ultravioleta que sistemas antifraude usam pra confirmar que um documento é autêntico. Na prática, isso significa que quem comprar esse pacote no dark web tem em mãos justamente o tipo de prova visual que muitos bancos e fintechs pedem pra "confirmar que você é você" — o que facilita bastante a abertura de contas falsas em nome de terceiros.

🇧🇷 O Brasil Foi Afetado?

Até o fechamento desta notícia, não há confirmação de que documentos de brasileiros estejam dentro desse vazamento específico da IDScan.net — o serviço é majoritariamente usado por comércios nos Estados Unidos (bares, locadoras de carro, dispensários de maconha em estados onde é regulamentada). Especialistas consultados pela imprensa fizeram questão de reforçar esse ponto: a IDScan oferece suporte técnico para o formato de documentos brasileiros, mas isso não é prova de que dado brasileiro tenha realmente vazado nesse caso específico — é importante não confundir "capacidade técnica" com "vazamento confirmado".

Dito isso, a preocupação de quem é brasileiro não é infundada por outro motivo: mega-vazamentos como esse raramente ficam isolados. Muitos golpistas cruzam dados vazados em diferentes bases — nomes, e-mails, telefones, e às vezes documentos — pra montar um "perfil" completo da vítima antes de aplicar um golpe personalizado, como aqueles que já expliquei em detalhe no post sobre os golpes de Pix mais comuns e como reconhecer cada um. Ou seja: mesmo sem confirmação direta de dado brasileiro nesse vazamento específico, o hábito de checar sua própria exposição continua valendo — porque o Brasil já teve vazamentos gigantes próprios nos últimos anos, e as chances de algum dos seus dados estar espalhado em alguma base combinada são reais.

🔍 Como Saber se Você Foi Afetado

A forma mais confiável, gratuita e usada mundialmente por pesquisadores de segurança pra checar exposição em vazamentos é o site Have I Been Pwned (haveibeenpwned.com), mantido pelo especialista australiano Troy Hunt. Veja como usar:

• Passo 1: acesse haveibeenpwned.com e digite o e-mail que você mais usa em cadastros (inclusive o antigo, se você trocou de e-mail principal nos últimos anos).
• Passo 2: clique em "pwned?" — o site mostra, em segundos, uma lista de todos os vazamentos conhecidos em que aquele e-mail apareceu, com nome do serviço, data e que tipo de dado foi exposto em cada um.
• Passo 3: se aparecer "Good news — no pwnage found!", seu e-mail não está em nenhum vazamento catalogado até agora — mas vale repetir a checagem periodicamente, já que a base é atualizada sempre que um vazamento novo é confirmado e catalogado.

Pra quem quer uma checagem mais focada em contexto brasileiro (CPF associado a contas abertas em seu nome, por exemplo), vale usar o Registrato, ferramenta gratuita do Banco Central (registrato.bcb.gov.br), que mostra todas as contas bancárias, empréstimos e contratos financeiros vinculados ao seu CPF — útil pra flagrar rapidamente se alguém abriu algo em seu nome usando documento vazado em qualquer vazamento, não só este.

🛡️ O Que Fazer se Seu Dado Aparecer numa Lista de Vazamento

Se o Have I Been Pwned (ou qualquer outra checagem) mostrar que seu e-mail apareceu em algum vazamento — deste ou de qualquer outro — o roteiro prático é sempre o mesmo:

• Troque a senha do serviço específico que vazou, e de qualquer outro lugar onde você reaproveitou a mesma senha (esse é o erro mais comum e mais explorado por golpista).
• Ative a verificação em duas etapas (2FA) em e-mail, redes sociais e principalmente em contas de banco — mesmo que a senha vaze de novo no futuro, o 2FA barra o acesso sem o segundo fator.
• Fique em alerta redobrado com phishing personalizado: com nome completo, e-mail e às vezes até foto de documento em mãos, o golpista consegue montar uma mensagem muito mais convincente do que o golpe genérico de sempre — desconfie de qualquer contato "oficial" pedindo confirmação de dado ou clique em link, mesmo que pareça saber detalhes seus.
• Monitore extrato bancário e CPF por um tempo (Registrato do Bacen, além do próprio app do banco), procurando por conta ou empréstimo que você não reconhece.
• Considere um gerenciador de senhas pra nunca mais reaproveitar a mesma senha em serviços diferentes — é a única forma realista de not ter esse mesmo problema se acumulando a cada vazamento novo.

Vale reforçar: vazamento de dado não é motivo pra pânico, mas é motivo pra ação rápida e concreta nos primeiros dias — quanto antes você trocar senha e ligar o 2FA, menor a janela de tempo que um golpista tem pra usar esse dado contra você.