Interfaces incluem informações cadastrais, histórico financeiro, vínculos familiares e outros registros. A ausência de controle sobre finalidade de uso e privacidade amplia o potencial de exploração dessas informações
Análises conduzidas pela Apura Cyber Intelligence indicaram que o mercado ilegal de dados pessoais representa um ponto central no ecossistema das fraudes digitais no Brasil. Vazamentos de dados, cada vez mais frequentes, são organizados em plataformas estruturadas de consulta online, facilitando o acesso a informações pessoais muito além dos fóruns clandestinos.
“Essas plataformas funcionam como sistemas de busca alimentados por bases de dados obtidas em diferentes incidentes de segurança ao longo dos últimos anos, além de acesso não autorizado a APIs de diferentes organizações. Informações provenientes de sistemas administrativos, cadastros financeiros e bancos de dados públicos e privados passam a ser consolidadas em interfaces que permitem a consulta rápida de perfis completos de cidadãos”, explica Sandro Süffert, CEO da Apura.
A investigação conduzida pela empresa identificou que o problema não está apenas em novos vazamentos. Parte das informações exploradas por fraudadores é composta por bases antigas que continuam circulando e sendo reutilizadas. O executivo explica que esses painéis funcionam como agregadores de informação: a partir de um CPF ou número de telefone, é possível reunir dados cadastrais, histórico financeiro, registros de documentos e outras informações que permitem validar a identidade de uma pessoa em poucos segundos.
“Não estamos lidando apenas com o roubo de dados, mas com a sua industrialização. Esses painéis reduzem drasticamente o esforço do golpista. O que antes levava dias de pesquisa agora é entregue em segundos”, explica o CEO.
O funcionamento dessas estruturas depende de diferentes falhas técnicas: repositórios de código expostos em plataformas de desenvolvimento, nos quais credenciais e chaves de acesso a bancos de dados corporativos acabam sendo publicadas inadvertidamente, além do uso de registros capturados por malwares do tipo stealer, que coletam credenciais armazenadas em computadores e celulares infectados.
“Serviços mal configurados e diretórios expostos para a internet permitem que criminosos não apenas acessem dados, mas também construam suas próprias camadas de consulta”, diz Süffert. “Ferramentas de anonimização e redes de proxy ajudam a mascarar a origem das requisições e a manter esses serviços ativos”.
Ao longo de 2025, os analistas da Apura também identificaram um novo modelo de operação: parte dos grupos passou a oferecer acesso a essas bases por meio de APIs, interfaces normalmente utilizadas para integração entre sistemas, vendidas em marketplaces digitais que simulam ambientes voltados ao desenvolvimento de software. A estrutura reduz a complexidade técnica da fraude e dá agilidade aos criminosos, que passam a integrar a API a scripts automatizados capazes de consultar dados em grande escala.
Segundo o executivo, a investigação iniciada em 2025 deve ser concluída em 2026, com um estudo sobre a arquitetura técnica dessas redes. A mitigação dessa ameaça à privacidade dos brasileiros envolve uma postura pró-ativa das organizações, tanto na proteção de dados quanto na proteção de sua infraestrutura tecnológica — monitoramento da exposição de servidores e aplicações, revisão de controles de acesso e identificação preventiva de vazamentos de credenciais e código-fonte.
“Se não atacarmos a infraestrutura que permite a reutilização desses dados, estaremos apenas reagindo aos sintomas. A fraude digital hoje opera como um sistema estruturado, com logística, ferramentas e escala”, conclui Sandro Süffert.
