Nesta quarta-feira (10), um grupo cibercriminoso anunciou a venda de dados de 248 milhões de cidadãos brasileiros. Realizada em um fórum ilegal, a oferta incluiria registros únicos atualizados até 2019. Segundo o texto, todo o material seria derivado da Receita Federal, sendo extraído diretamente de fontes oficiais. Em resposta exclusiva à apuração da reportagem, os invasores alegam que as informações não são reaproveitadas de incidentes anteriores.
O conjunto de dados oferecido à venda é extenso e bastante detalhado, contendo informações cadastrais como nomes completos, CPFs, endereços, informações parentais e até números de contato. O material descompactado possui cerca de 78,7 GB, divididos em 24 arquivos de bancos de dados SQLite. Por essa característica de formato, todos os registros podem ser facilmente organizados e consultados, conforme as necessidades do comprador.
Como prova de autenticidade, os criminosos incluíram arquivos com cerca de 100 linhas de cada um dos 24 bancos de dados na publicação. Apesar da pequena amostragem, conforme apurado pela reportagem, os dados expostos são reais e podem ser utilizados para a prática de golpes e fraudes de diferentes tipos.
Procurados pelo TecMundo, os criminosos do Grupo Buddha enviaram o conjunto completo de banco de dados para análise independente e apuração da reportagem. Os detalhes técnicos, origem do incidente e posicionamentos dos órgãos governamentais envolvidos podem ser lidos no texto a seguir.
Receita Federal nega vazamento de dados em seus sistemas
Na manhã da quinta-feira (11), a Receita Federal respondeu ao TecMundo, negando o vazamento de dados e informando que o anúncio feito pelos criminosos seria falso. O órgão também afirmou que nenhum incidente cibernético teria ocorrido.
Leia na íntegra:
Nota à Imprensa — Esclarecimento sobre informação falsa de suposto vazamento
A Receita Federal do Brasil esclarece que não procede a informação divulgada em matéria do dia 10.06.2026 veiculada por site especializado em tecnologia sobre um suposto vazamento de dados envolvendo seus sistemas.
Trata-se de fake news, baseada na recirculação de base de dados antiga, que já é conhecida pelas autoridades e amplamente divulgada desde 2021. Os dados em questão são, majoritariamente, referentes ao ano de 2019, associados a incidente notório ocorrido à época, sem qualquer relação com sistemas da Receita Federal.
É importante esclarecer:
- Não houve invasão, vazamento ou comprometimento das bases de dados da Receita Federal.
- A simples presença de CPF em conjuntos de dados não permite identificar a origem da informação, uma vez que esse identificador é amplamente utilizado em bases públicas e privadas no Brasil há décadas.
- A atribuição indevida à Receita Federal é estratégia típica de ambientes criminosos para conferir aparência de credibilidade e valor comercial a bases de dados antigas, sem comprovação de origem.
A divulgação desse tipo de conteúdo, sem a devida verificação, contribui para a desinformação e gera alarme indevido na população.
A Receita Federal reforça que mantém elevados padrões de segurança da informação e segue monitorando o caso, em articulação com os órgãos competentes.
Ancine vazou dados obtidos nos sistemas da Receita Federal
Horas após o posicionamento da Receita Federal, ainda na quinta-feira (11), o Grupo Buddha entrou em contato com o TecMundo com novas informações sobre o caso. Os criminiosos enviaram o conjunto completo de bancos de dados, além de detalhar sua origem e o método de ataque que resultou no vazamento.
Segundo o Grupo Buddha, os 248 milhões de registros foram vazados por meio de um servidor utilizado pela Ancine, a Agência Nacional do Cinema. Os criminosos afirmam que o sistema comprometido possuia permissões para consultar dados oficiais da Receita Federal, origem das informações.
Como evidência de comprometimento ao servidor da Ancine, os criminosos desfiguraram uma página web com uma mensagem direcionada à Receita Federal. Evocando uma espécie de “certificado”, o texto afirmava: “Certifica-se que a Receita Federal atingiu o nível Incompentente na proteção de dados da população brasileira”.
A mensagem ainda afirma que a Receita Federal errou ao classificar o incidente da Ancine como “reaproveitamento de dados”. O termo se refere à prática de revenda ou repasse de registros antigos, geralmente obtidos por terceiros, como se fossem inéditos. Essa abordagem costuma ser utilizada por cibercriminosos para enganar potenciais compradores.
Em seu comunicado inicial, a Receita Federal afirmou que o vazamento reportado seria baseado em outro ocorrido em 2021 – referindo-se ao incidente envolvendo o Serasa Experian. No entanto, como aponta a análise do TecMundo a seguir, o banco de dados vazado da Ancine (248 milhões de registros) é significativamente maior que o declarado no vazamento da Serasa Experian (223 milhões de registros), além de possuir origens diferentes.
Apurado independentemente pela reportagem e também com apoio de um pesquisador profissional de cibersegurança, todo o material coletado pelo TecMundo foi imediatamente compartilhado com os órgãos afetados.
Análise técnica do vazamento de dados da Ancine
Na análise do TecMundo, foi possível verificar a autenticidade do material. Em uma amostra de 50 registros, todos os CPFs e CNPJs apresentaram dígitos verificadores válidos, passando pelos testes oficiais para validação desses documentos.
Além disso, as tabelas de referência presentes no conjunto de dados são compatíveis com os padrões adotados pela Receita Federal. A amostragem analisada inclui:
- 27 unidades federativas;
- 12 situações cadastrais;
- 32 qualificações;
- 89 naturezas jurídicas;
- quatro categorias de porte empresarial;
- 241 países cadastrados.
A escala da base também é coerente com números conhecidos do cadastro brasileiro, reunindo cerca de 248,8 milhões de CPFs, 41,6 milhões de CNPJs e registros de 5.501 municípios. Outro elemento observado foi a presença exclusiva de códigos DDD válidos segundo o padrão da Anatel.
Além disso, há também informações que seriam exclusivas de sistemas restritos. São elas: nome da mãe de cada CPF, registros de consulta interna e dados de e-mail e telefone.
Abaixo, o TecMundo apresenta os arquivos de amostra, limitados a 100 linhas cada. A numeração, que originalmente aparece no início da nomenclatura, é um indicativo do tamanho total de cada um dos banco de dados – por exemplo, “290540443_TB_PESSOA.db”.
Entenda a possível relevância de cada um deles:
Bancos de dados
- TB_PESSOA (290,5 milhões de registros): Cadastro principal de pessoas físicas e jurídicas, contendo informações básicas como nome, e-mail e situação cadastral;
- TB_PESSOA_FISICA (248,8 milhões de registros): Complemento do cadastro de pessoas físicas, com CPF, data de nascimento, sexo, nome da mãe e informações ocupacionais;
- TB_PESSOA_JURIDICA (41,6 milhões de registros): Cadastro de empresas, incluindo CNPJ, nome fantasia, porte, capital social e natureza jurídica;
- TB_PESSOA_ENDERECO (290,5 milhões de registros): Endereços vinculados aos cadastros, com rua, número, complemento, bairro, CEP, município e país;
- TB_PESSOA_TELEFONE (133 milhões de registros): Telefones associados aos cadastros, incluindo DDD e número;
- TB_PESSOA_JUR_SOCIO (18,9 milhões de registros): Relação entre empresas e seus sócios, acionistas ou representantes legais;
- TB_PESSOA_JUR_CNAE (51,8 milhões de registros): Associação entre empresas e seus códigos CNAE, que identificam as atividades econômicas exercidas;
- HT_PJ_SUCESSAO (116 mil registros): Histórico de sucessão empresarial, como incorporações, fusões ou transferências entre empresas;
- TB_CONSULTA_TMP (37.249 registros): Lista de CPFs utilizados em consultas ou pesquisas dentro do sistema;
- TB_PESSOA_FISICA_DUP (12 registros): Registro de CPFs identificados como duplicados na base.
Tabelas de referência
- TA_SITUACAO_CADASTRAL (12 registros): Tradução dos códigos de situação cadastral de pessoas e empresas (ativa, baixada, suspensa etc.);
- TA_NATUREZA_JURIDICA (89 registros): Catálogo dos tipos jurídicos de empresas, como MEI, LTDA, S.A. e associações;
- TA_QUALIFICACAO (32 registros): Lista de qualificações relacionadas a sócios, administradores e representantes;
- TA_CNAE (2.010 registros): Tabela oficial dos códigos CNAE e suas respectivas descrições de atividade econômica;
- TA_MUNICIPIO (5.501 registros): Relação de municípios e seus códigos administrativos;
- TA_UNIDADE_FEDERACAO (27 registros): Relação das unidades federativas (estados e Distrito Federal).TA_PAIS (241 registros): Cadastro de países utilizados nos registros;
- TA_OCUPACAO (132 registros): Lista de ocupações e profissões utilizadas nos cadastros;
- TA_NATUREZA_OCUPACAO (21 registros): Classificação das categorias de ocupação profissional;
- TA_PORTE_PJ (4 registros): Classificação do porte das empresas, como microempresa, pequeno porte e demais categorias;
- TA_MOT_SIT_CADASTRAL (68 registros): Motivos associados a alterações na situação cadastral de empresas e pessoas;
- TA_EVENTO_SUCESSAO (0 registros): Tabela destinada à descrição dos eventos de sucessão empresarial;
- TA_ORGAO_JURISDICAO (0 registros): Cadastro de órgãos responsáveis pela jurisdição administrativa dos registros;
- TA_UNIDADE_ADM (0 registros): Relação de unidades administrativas utilizadas para classificação interna dos cadastros.
O que causou o vazamento de dados por meio da Ancine?
Para realizar o vazamento de dados, o Grupo Buddha afirma ao TecMundo ter obtido acesso privilegiado a um servidor da Ancine e abusado de permissões de consulta locais. Segundo os criminosos, o sistema comprometido possuía autorização para comunicar-se diretamente com um banco de dados externo, onde estavam armazenadas as 24 tabelas com os 248 milhões de registros.
Como não havia permissão para simplesmente baixá-las do banco de dados externos para o servidor da Ancine, o Grupo Buddha afirma ter utilizado uma aplicação em Java para contonar as limitações. O código executaria instruções de consulta (SELECT *), para eventualmente copiar e escrever o conteúdo em novos arquivos no formato SQLite (.db).
Em seguida, cada novo arquivo gerado remotamente seria movido para o diretório do servidor web da Ancine – permitindo, então, seu download. Ao fim do processo, que resultaria em 24 arquivos SQLite (.db) totalizando 78,7 GB, os atacantes apagavam quaisquer rastros deixados para trás.
Por quê a Ancine possuía informações de 248 milhões de brasileiros?
Segundo o Grupo Buddha, o sistema vulnerável foi encontrado em meio a uma busca generalizada por subdomínios ligados ao GOV.BR. Os criminosos afirmam que estavam em busca de servidores que poderiam armazenar dados em massa, com exceção dos utilizados por prefeituras: “estávamos procurando algo relevante, mas que não estaria na mira de outros hackers,” afirmam.
Durante essa pesquisa, o sistema utilizado pela Ancine teria sido identificado. Contudo, de imediato, os dados relacionados presentes ali não teriam despertado a atenção dos criminosos. Segundo eles, o interesse surgiu somente após a escalação de privilégios na máquina: “já que estávamos ali, começamos a explorar a infraestrutura interna”. Esse processo, então, resultou na descoberta das permissões das consultas utilizadas no vazamento.
Receita Federal emite novo posicionamento sobre vazamento de dados
Após receber o material enviado pelo TecMundo, a Receita Federal esclareceu detalhes sobre o caso. Segundo o órgão, a Ancine possui um convênio que garante acesso a dados de CPF, CNPJ e Certidão Negativa de Débitos – informações públicas – para consulta pontual.
No mesmo contexto, a Receita Federal também afirmou:
“A Lei 14.534/2023 estabelece o Cadastro de Pessoas Físicas (CPF) como o número único e suficiente para a identificação do cidadão nos bancos de dados de serviços públicos. Dessa maneira, os órgãos públicos possuem acesso ao CPF por intermédio do programa Conecta.gov, do MGI, para fins de que o cidadão não tenha que reapresentar seus dados a cada interação com a administração pública.”
Em questionamento feito pelo TecMundo, a Receita Federal recusou-se a confirmar a autenticidade dos dados analisados pela reportagem e a dimensão do ataque. O órgão alegou que validar registros obtidos por terceiros violaria o sigilo fiscal em massa, além de não confirmar o volume de 248 milhões de pessoas afetadas e a data do vazamento.
Além disso, a Receita Federal descartou qualquer tipo de notificação à Autoridade Nacional de Proteção de Dados (ANPD). A instituição justificou a ausência de comunicado ao órgão regulador argumentando que o incidente não ocorreu em seus sistemas, eximindo-se de responder sobre eventuais falhas ocorridas na infraestrutura da Ancine.
Ancine reconhece incidente cibernético e notificação à ANPD
Por sua vez, a Ancine confirmou ter sido alvo de um ataque cibernético contra sua infraestrutura, mas garantiu que a invasão afetou apenas o banco de dados legado, desatualizado desde 2019. A agência afirma que os arquivos continham apenas dados cadastrais básicos de pessoas físicas e informações públicas de pessoas jurídicas.
A Ancine ainda reitera que não houve o comprometimento de sigilo fiscal ou de seus sistemas operacionais atuais, mantendo ilesa a integração com o Conecta.gov.br – adotada a partir de 2020. A Ancine realizou notificações formais ao CTIR.Gov e à Autoridade Nacional de Proteção de Dados (ANPD).
Leia o posicionamento na íntegra:
Nota de Esclarecimento sobre Incidente de Segurança da Informação
“A Agência Nacional do Cinema - ANCINE confirma que foi alvo de um ataque cibernético direcionado à sua infraestrutura. Em resposta imediata, a Agência ativou seus protocolos e manteve a integridade dos sistemas e banco de dados.
Uma análise técnica identificou que o ataque afetou um banco de dados legado, com registros cadastrais datados de 2019. Esse repositório continha dados cadastrais básicos de pessoas físicas, além de informações públicas sobre pessoas jurídicas. A ANCINE esclarece que nenhum dado protegido por sigilo fiscal foi comprometido, e que os sistemas operacionais em uso corrente pela Agência permaneceram íntegros.
Em cumprimento à legislação, a ANCINE deu início ao procedimento de notificação do CTIR.Gov sobre o incidente, bem como da Agência Nacional de Proteção de Dados - ANPD.
A ANCINE informa que, desde 2020, adota um conjunto de medidas de modernização da sua infraestrutura de segurança da informação. Entre elas, destaca-se a migração do acesso a bases de dados de outros entes governamentais para o programa Conecta.gov.br, plataforma federal que garante acesso seguro, controlado e auditável. Essa arquitetura não foi afetada pelo presente incidente.
A Agência repudia o ataque sofrido e reafirma seu compromisso com a proteção dos dados sob sua custódia.
Atenciosamente, Assessoria de Comunicação”