Decisões

Vazamento de dados: quem vazou não é quem levou o dinheiro

O mesmo CPF está em vários vazamentos, e provar qual deles alimentou a fraude é quase impossível. O STJ separou duas perguntas que as petições misturam.

Por Julio Cesar Madeira Soares, Perito em Investigação Digital e Segurança da Informação.
Publicação prevista para 13 de abril de 2027

A ligação começou com a pessoa do outro lado sabendo tudo.

Nome completo, CPF, endereço, em que banco você tem conta, os quatro últimos dígitos do cartão. Nada disso foi perguntado. Foi dito, com naturalidade de quem está lendo uma tela, porque estava mesmo.

Essa precisão é o que faz o golpe funcionar. E é a mesma precisão que, semanas depois, alguém vai usar para dizer que você foi descuidado.

Quem vazou não é quem levou o dinheiro

O dado saiu de algum lugar. Uma loja, uma operadora, um plano de saúde, um órgão público, uma empresa que você nunca ouviu falar e que comprou sua informação de outra que você também nunca ouviu falar.

O dinheiro saiu de outro lugar completamente diferente, que é o seu banco. E o seu banco não vazou nada.

Fica assim: existe uma empresa que falhou em guardar o dado e não tocou no seu dinheiro, e existe um banco que cuidou do seu dinheiro e não tinha nada com o dado. As duas relações são separadas e nenhuma cobre a outra. É parente do problema de três polos que descrevemos em SIM swap, com um agravante: aqui, com frequência, você nunca contratou quem vazou. Nem sabia que ele tinha seus dados.

O nexo, e a má notícia vem primeiro

Se o plano é processar quem vazou, convém saber onde ele costuma morrer.

O seu CPF não está num vazamento. Está em vários. Ao longo dos anos, o mesmo conjunto de nome, documento, telefone e endereço já circulou em episódios diferentes, de empresas diferentes, em datas diferentes.

Provar qual deles alimentou esta fraude é, na prática, quase impossível. Não é falta de esforço nem de técnica. É que o dado, uma vez fora, se mistura, é revendido, é recombinado e chega ao fraudador sem etiqueta de origem.

Vale dizer isso com todas as letras, porque é o tipo de coisa que ninguém avisa antes: na maioria dos casos, a ação contra quem vazou não tem nexo demonstrável, e insistir nela consome tempo e credibilidade que fariam falta em outro lugar.

Então o vazamento serve para quê

Serve, e muito. Só que não onde a intuição manda procurar.

O vazamento vale mais como prova contra o banco do que como ação contra quem vazou.

A razão é direta. A defesa mais comum da instituição em golpe de engenharia social é a culpa exclusiva da vítima: ela autorizou, ela digitou, ela aprovou. O vazamento ataca exatamente esse ponto, por dois caminhos.

Primeiro, ele explica por que a abordagem foi crível. Uma pessoa que recebe ligação de alguém que já sabe o número do seu cartão não está sendo descuidada ao acreditar. Está diante de uma prova de identidade razoável pelos padrões que os próprios bancos ensinaram durante anos. A precisão do golpista não é sinal de ingenuidade da vítima, é sinal de que o dado estava na rua.

Segundo, ele reforça o argumento de detecção. Abordagem construída sobre dado exato é precisamente o cenário para o qual existe monitoramento. O critério que os tribunais vêm aplicando, tratado em responsabilidade do banco, olha se a operação destoa do padrão do cliente, e não se a autenticação passou.

Ou seja: o vazamento não muda quem responde pelo vazamento. Muda o que se pode dizer sobre a conduta da vítima, e isso costuma decidir o caso.

As duas perguntas que as petições insistem em misturar

Aqui está o núcleo jurídico, e a confusão entre as duas é o erro mais comum que se vê.

Pergunta 1: o vazamento, sozinho, gera dano moral?

Pergunta 2: o ataque de terceiro exclui a responsabilidade de quem guardava?

São perguntas independentes, com respostas independentes, e o Superior Tribunal de Justiça respondeu as duas em decisões diferentes.

A resposta da primeira depende de o dado ser sensível

No AREsp 2.130.619/SP, julgado pela Segunda Turma em 7 de março de 2023, por unanimidade, sob relatoria do ministro Francisco Falcão, o STJ tratou do vazamento, por concessionária de energia, de data de nascimento, CPF, RG, gênero, endereço, telefones e dados de consumo de uma cliente. O voto é direto:

O vazamento de dados pessoais, a despeito de se tratar de falha indesejável no tratamento de dados de pessoa natural por pessoa jurídica, não tem o condão, por si só, de gerar dano moral indenizável. Ou seja, o dano moral não é presumido, sendo necessário que o titular dos dados comprove eventual dano decorrente da exposição dessas informações. Diferente seria se, de fato, estivéssemos diante de vazamento de dados sensíveis, que dizem respeito à intimidade da pessoa natural.

Guarde a última frase, porque é o próprio acórdão apontando onde fica a linha.

E guarde também um detalhe que costuma passar batido: o tribunal estadual tinha condenado a concessionária justamente por se tratar de pessoa idosa, e o STJ reformou. A idade, sozinha, não moveu a linha. O que ela muda, e onde, está em vítima pessoa idosa.

No REsp 2.121.904/SP, julgado pela Terceira Turma em 11 de fevereiro de 2025, por unanimidade, sob relatoria da ministra Nancy Andrighi, o cenário era outro. Havia contrato de seguro de vida e o incidente expôs informações fiscais, bancárias e de saúde do segurado. Ali o STJ reconheceu responsabilidade objetiva da seguradora e dano moral presumido, com indenização de R$ 15 mil.

Mas leia a tese como ela foi enunciada, e não como ela circula resumida. O acórdão não diz que todo vazamento de dado sensível gera dano presumido. Ele diz que em contrato de seguro de vida, na hipótese de vazamento de dado sensível do segurado, há responsabilidade objetiva e dano presumido. O contexto está dentro da tese, e a razão está dita no voto: para celebrar o contrato, a seguradora necessariamente recebe dado sensível sobre saúde e vida pessoal do segurado para avaliar risco, e por isso deve empreender “rigoroso esforço” de proteção.

Ou seja, o que sustenta o resultado é a combinação de duas coisas: o dado é sensível e o negócio é de um tipo que obrigatoriamente coleta dado sensível. Quem citar esse acórdão como regra geral sobre dado sensível vai ser corrigido na contestação.

O ganho lateral, que é prático e quase ninguém usa. O mesmo acórdão firma que cabe ao fornecedor o ônus de comprovar que cumpriu o dever de proteger, sobretudo em dado sensível, apoiado nos arts. 6º, VIII e 14 do CDC e nos arts. 6º, X, 8º, §2º, 42, §2º e 48, §3º da LGPD. Não é o titular que prova a falha, é a empresa que prova a diligência.

A resposta da segunda é não, e o que se ganha não é dinheiro

No REsp 2.147.374/SP, julgado pela Terceira Turma em 3 de dezembro de 2024, por unanimidade, sob relatoria do ministro Ricardo Villas Bôas Cueva, discutia-se incidente cibernético em concessionária que expôs dados não sensíveis.

A tese que interessa: alegar ataque de terceiro não basta. A excludente do art. 43, III da LGPD exige demonstrar que o dano decorreu exclusivamente do incidente, e não feita essa demonstração, ela não se aplica em favor do agente de tratamento. O tratamento é irregular quando deixa de oferecer a segurança que o titular poderia esperar, o que o acórdão chama de expectativa de legítima proteção, nos termos do art. 44, III.

E aqui está o ponto que muda o pedido, não só o argumento: a condenação não foi indenizatória. O que o tribunal manteve foi obrigação de fazer. A empresa foi condenada a apresentar a informação sobre as entidades públicas e privadas com as quais compartilhou os dados, pelo art. 18, VII da LGPD, e a fornecer declaração completa indicando origem dos dados, critérios utilizados, finalidade do tratamento e cópia exata de tudo que consta em seus bancos, pelo art. 19, II.

Leia essa lista pensando em quem sofreu fraude. Com quem o dado foi compartilhado, de onde ele veio, para que era usado e cópia de tudo. É exatamente o material que falta no caso do titular, e é pedido que sobrevive mesmo quando o dano moral não é presumido.

Repare, então, que as duas respostas convivem sem contradição. É perfeitamente possível que a empresa responda pelo incidente e o titular não obtenha dano moral presumido, e ainda assim ele saia com uma condenação útil. Petição que só pede dinheiro deixa a parte mais aproveitável na mesa.

A linha do dado sensível está se movendo, e é bom saber para que lado

O art. 5º, II da LGPD define dado sensível em lista fechada: origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, e dado genético ou biométrico, quando vinculado a uma pessoa natural.

Repare no que está e no que não está. Nome, CPF, endereço e telefone, que são justamente o combustível da fraude bancária clássica, não são sensíveis. Caem do lado ruim da primeira pergunta.

Só que a fraude bancária andou para o outro lado. Abertura de conta passou a exigir selfie. Central de atendimento passou a usar biometria de voz, como tratamos em clonagem de voz. Troca de chip passou a envolver verificação facial, com casos documentados de selfie manipulada, como está em SIM swap.

Daí sai um argumento que ainda não foi julgado, e que vale construir com cuidado em vez de anunciar como se já estivesse decidido.

Vazamento que inclua biometria facial ou vocal cai, pela letra do art. 5º, II, do lado sensível da lista. Isso resolve metade. A outra metade vem do fundamento do caso do seguro de vida: lá, o que pesou não foi só a natureza do dado, foi o negócio ser de um tipo que necessariamente coleta dado sensível para funcionar, e por isso dever esforço rigoroso de proteção.

A analogia se monta sozinha. Um banco que exige selfie para abrir conta e biometria de voz para atender no telefone também coleta dado sensível por necessidade do próprio negócio, e não por acaso. Se o raciocínio do seguro de vida se aplicar, ele guarda hoje uma responsabilidade de categoria diferente da que guardava há cinco anos.

É argumento a sustentar, não precedente a citar. Mas é o argumento certo, e é melhor chegar nele com o fundamento do acórdão na mão do que com a lista do art. 5º sozinha.

O prazo, que é a outra coisa embaralhada

Dois pontos, e o segundo importa mais que o primeiro.

Qual prazo. Havendo relação de consumo, o caminho usual é o art. 27 do Código de Defesa do Consumidor, com prescrição de cinco anos, até porque a LGPD, no art. 45, remete as hipóteses do âmbito consumerista às regras da legislação pertinente. Fora da relação de consumo, discute-se o prazo de três anos do art. 206, §3º, V do Código Civil. O tema não está pacificado.

A partir de quando conta, e é aqui que está o jogo. No art. 27 do CDC a contagem começa do conhecimento do dano e de sua autoria, não da ocorrência do evento. Em vazamento isso é decisivo, porque o titular quase nunca sabe quando o dado saiu. Descobre anos depois, por notícia, por notificação ou pelo próprio golpe.

Daí sai uma instrução prática banal e muito esquecida: guarde, com data, o momento em que você ficou sabendo. O e-mail da empresa, a notícia, a captura de tela do aviso. Esse papel não prova o vazamento, mas ancora o início da contagem, e é o que evita a discussão de prescrição começar perdida.

Vazar dado não é crime na LGPD

Vale corrigir isso, porque aparece em petição, em notícia e em conversa de corredor.

A LGPD não criou tipo penal. As sanções do art. 52 são administrativas e de competência exclusiva da Autoridade Nacional de Proteção de Dados: advertência com prazo para correção, multa simples de até 2% do faturamento da pessoa jurídica no Brasil no último exercício, excluídos os tributos, limitada a R$ 50 milhões por infração, além de publicização, bloqueio e eliminação de dados.

Isso não significa que não haja crime nenhum. Significa que o crime, quando existe, vem de outro lugar:

• Se houve invasão de dispositivo para obter a base, cabe o art. 154-A do Código Penal, como tratado em infostealer
• Se o dado saiu pela mão de alguém de dentro, a discussão é outra e está em fraude interna
• A fraude praticada depois é estelionato por fraude eletrônica, art. 171, §2º-A

Três fatos, três momentos, quase sempre pessoas diferentes. Pedir na ocorrência apenas o terceiro deixa de fora tudo que explica como o criminoso sabia o que sabia.

O documento que quase ninguém pede

A LGPD, no art. 48, e a Resolução CD/ANPD nº 15/2024 obrigam o controlador a comunicar incidente relevante à Autoridade Nacional e aos titulares afetados em até três dias úteis, contados de quando ele soube que o incidente atingiu dado pessoal.

Do lado de quem sofreu o incidente, isso é obrigação, e o roteiro está em empresa vítima de fraude. Do lado do titular, é outra coisa, e é a mais útil: é um documento.

A comunicação diz o que vazou, quando se soube e quem foi atingido. Se ela existe, ancora data e conteúdo, que é exatamente o que falta no caso do titular. Se ela não existe, a ausência também é informação, com consequência própria na esfera administrativa.

E o caminho para pedir está no art. 18 da LGPD, que garante ao titular confirmação da existência de tratamento e acesso aos dados. Não é favor, é direito, e o pedido se faz por escrito ao encarregado.

Se a empresa não entregar, isso já foi a juízo e o titular ganhou. É exatamente o que o STJ manteve no REsp 2.147.374/SP citado acima: condenação a apresentar a informação sobre com quem os dados foram compartilhados, pelo art. 18, VII, e a fornecer declaração completa com origem, critérios, finalidade e cópia de tudo que consta nos bancos da empresa, pelo art. 19, II. E a alegação de ataque hacker não afastou essa obrigação.

Vale insistir no ponto porque ele reorganiza o pedido: essa informação costuma valer mais para o caso do que a indenização, e sobrevive mesmo onde o dano moral não é presumido. Com quem meu dado foi compartilhado é, muitas vezes, a única pista de como ele chegou em quem me ligou.

O que fazer

Se você foi vítima:

1. Anote imediatamente o que o criminoso já sabia. Nome completo, documento, endereço, banco, quatro dígitos do cartão, nome de familiar, valor de alguma operação recente. Essa lista é o item mais valioso do caso e é o que praticamente ninguém registra. Ela envelhece rápido na memória.
2. Guarde com data o momento em que você soube do vazamento, seja notificação, notícia ou o próprio golpe.
3. Peça confirmação, acesso e a lista de compartilhamento, com base nos arts. 18, VII e 19, II, e peça cópia da comunicação de incidente. Peça por escrito ao encarregado, e guarde o protocolo.
4. Preserve a abordagem inteira, a mensagem, o áudio, a página, com a disciplina de cadeia de custódia e hash na origem.
5. Separe as duas perguntas na peça. Responsabilidade de quem guardava é uma coisa. Dano moral presumido é outra. Misturar as duas enfraquece as duas.
6. Não peça só dinheiro. A obrigação de informar sobrevive onde o dano presumido não sobrevive, e a informação que ela produz costuma ser mais útil ao caso do que o valor da indenização.

Se você opera a instituição:

1. Vazamento em terceiro não é vazamento seu, mas é insumo de risco seu. Abordagem construída sobre dado exato é o cenário para o qual o monitoramento existe.
2. Quando o cliente relata que “ele sabia tudo sobre mim”, isso não é desabafo, é indicador. Tratar como anedota é jogar fora sinal que você já recebeu de graça.
3. Se a sua base guarda biometria, ela mudou de categoria. A pergunta que vem depois de um incidente não vai ser a mesma que seria há cinco anos.

O vazamento explica a fraude e raramente sustenta a ação contra quem vazou. O valor dele está em outro lugar: é o que transforma “a vítima foi descuidada” em “a abordagem era crível”. Essa troca de frase muda o caso inteiro, e é por ela que vale o trabalho de documentar o que o criminoso já sabia.