Embora os dados do escore de crédito se tornem menos confiáveis com o passar do tempo (a exemplo dos dados do Mosaic), este vazamento permitirá que empresas concorrentes da SERASA (e também o crime organizado) desenvolvam suas próprias metodologias de “scoring”. O segredo comercial da SERASA deixou de existir com este vazamento.
O que dá para fazer com esses dados? Pessoas com escore de crédito muito alto correspondem a pessoas que utilizam crédito com frequência e que nunca atrasam seus pagamentos. São o público ideal para contratar mais empréstimos e mais cartões de crédito, caso a sua renda/classe social permitam. Pode esperar que você vai receber, se tiver um bom escore, uma quantidade absurdas de ofertas de produtos de crédito e financiamento ao longo dos próximos meses e anos. Além disso, esses CPF podem ser usados em compras fraudulentas, já que um bom escore de crédito costuma dispensar certas verificações feitas pelos vendedores. Aumentará, nos próximos meses e anos, a possibilidade de compras indevidas e empréstimos não solicitados em seu nome.
Informação provavelmente originária do BACEN, a inscrição no CCF (Cadastro de Emitentes de Cheques Sem Fundos) inclui a data da inscrição, o número código do Banco, o prefixo da agência e os dados do cheque (número e valor).
O que dá para fazer com esses dados? Inúmeros incautos ainda usam cheques para fazer pagamentos a prazo. O cheque é o meio de pagamento mais inseguro que existe e o mais sujeito a fraudes. Com base nestes dados, estelionatários poderão ligar para as pessoas que estão no CCF, identificar-se como os supostos beneficiários finais dos cheques e solicitar o pagamento para enviarem o cheque.
Isto é possível porque muitos comerciantes (e até pessoas físicas), pensando em sonegar impostos, não sacam os cheques, mas os utilizam para pagar compromissos. A transferência dos cheques por simples tradição (ou seja, “de mão em mão”) faz com que um cheque possa ir parar em uma cidade a milhares de quilômetros de distância, na mão de uma pessoa que o emitente nem sabe quem é. Desta forma, se ocorrer uma inscrição no CCF por dupla devolução, o emitente pode não ter como pagar a pendência por simplesmente não saber a quem. Os bancos, conforme o regulamento do BACEN, só podem retirar a pessoa do CCF se o cheque original for apresentado (como prova de que a dívida foi quitada) ou se o emitente apresentar recibo assinado pelo beneficiário e certidão negativa do cartório de protesto. Esta “burocracia” (que só existe porque o cheque é um meio de pagamento obsoleto, que as pessoas insistem em usar porque são tolas ou porque querem sonegar) abre a porta para golpes como o que eu descrevi acima.
A Cédula de Identidade; ou “RG”, como é chamada em certos estados; é um dado sensível que pode ser usado para diversos tipos de fraudes. Conhecendo o número da Identidade associada a um CPF, fica mais fácil abrir empresas, alugar imóveis, financiar bens, contrair empréstimos, abrir contas bancárias e cometer toda sorte de ilegalidades. Pode-se, inclusive, criar documentos frios com a finalidade de desviar para pessoas inocentes a culpa de bandidos pegos em flagrante. Agora os documentos falsos ficarão mais difíceis de detectar, porque poderão ter todos os dados corretos da pessoa a quem aquele número pertence.
Para dezenas de milhões de brasileiros, fotos de seus rostos, obtidas das bases de dados de identidade ou de outras origens, estão nas mãos de criminosos. Além de saberem onde você vive, onde trabalha e quanto ganha; eles também poderão identificá-lo quando o virem na rua! Poderão, também, usar esta foto para criar cópias quase perfeitas de seus documentos originais de identidade, e assim cometer fraudes e outros crimes usando o seu nome. Amanhã ou depois você poderá se descobrir dono de empresas (ou de gigantescas dívidas), ou poderá ser preso por crimes que não cometeu.
Este vazamento, que seguramente partiu do TSE ou de algum TRE, contém dados repetidos de outras categorias (como o nome completo, a data de nascimento, o nome da mãe) e os dados eleitorais básicos do indivíduo (número do título, zona, seção, endereço, município e estado). Os dados repetidos servem para validar de forma cruzada os dados obtidos.
O que dá para fazer com esses dados? Partidos políticos nada éticos poderão filiar você sem o seu conhecimento e utilizá-lo como “laranja” em suas falcatruas eleitorais. No entanto, a principal utilidade desta categoria de dados é validar a identificação da pessoa e obter mais certeza sobre o cruzamento de dados.
Estes dados se referem às certidões e registros emitidos pela SRF, permitindo validar documentos importantes; como a “Certidão Negativa de Débitos Relativos aos Tributos Federais e à Dívida Ativa da União”, a “Certidão de Débitos Relativos a Tributos Federais e à Dívida Ativa da União de Imóvel Rural” e outras. O código de controle da certidão permite que ela seja validada online no site da SRF.
O que dá para fazer com esses dados? Com estes dados é possível saber se sua casa ou propriedade rural tem pendências de impostos ou medidas judiciais e se está em situação que permite a alienação. Isto permite a um possível golpista saber se seu imóvel pode ser alienado (ou seja, dado em garantia de empréstimo ou mesmo transferido a outra pessoa).
Mas se a Certidão Negativa não for emitida, isto quer dizer que o CPF pode ter uma pendência com a União. O vazamento, então, inclui a informação de dívidas de impostos federais, contribuição à previdência oficial (INSS) e ao Fundo de Garantia por Tempo de Serviço (FGTS).
O que dá para fazer com esses dados? Golpistas podem fingir ser servidores da SRF e ligar para os devedores oferecendo “parcelamento” das dívidas.
Com os dados do FGTS, fraudadores poderão sacar o saldo de contas paralisadas e utilizá-los — além de utilizá-los fraudulentamente de outras maneiras que nem consigo imaginar.
Um número do CNIS (Cadastro Nacional de Informações Sociais) também foi vazado e pode ser usado para obter informações sobre quanto tempo falta para você aposentar.
Difícil até imaginar de onde podem ter saído estes dados, que classificam cada CPF conforme seu perfil socioeconômico em detalhe (classe social e subclasse). Estas informações repetem dados obtidos em outras categorias do vazamento (como o Mosaic), permitindo validar aquela base dados por esta, ou esta por aquela, e assim facilitando completar dados sobre quem só está em uma delas. Ou seja, se em 90% dos casos as duas listas conferem quanto à classificação econômica, provavelmente estará correta a informação sobre quem só está em uma delas.
O que dá para fazer com esses dados? Aumentar a abrangência e precisão das informações coletadas pelo Mosaic e pelo escore de crédito, aprofundando o entendimento de cada pessoa e do conjunto da sociedade.
Aqui a coisa fica séria, e novamente parece envolver um vazamento da SRF. Vazaram declarações de imposto de renda de milhões de brasileiros. Como esses dados são sigilosos e são objeto de sigilo fiscal/tributário, não deveriam ser compartilhados com ninguém. Ou hackearam a SRF ou ela estava indevidamente compartilhando dados dos contribuintes brasileiros.
Felizmente, não vazou o conteúdo propriamente dito das declarações mas apenas os dados referentes aos lotes de restituição do IRPF: nome da instituição bancária receptora, código da agência, lote de restituição, ano de referência, situação da declaração. O problema é que o simples fato de alguém estar nesta lista indica que:
teve algum recebimento expressivo no ano anterior (caso de pessoas que só tiveram restituição em um ano fiscal recente)
Outra informação originária do SERASA, o modelo de afinidade é uma tentativa de avaliar a probabilidade de aquisição de certo produto ou serviço conforme o perfil do consumidor. Você pode encontrar mais informações sobre o modelo neste arquivo vazado.
Os cidadãos são divididos em grupos de afinidade para que as empresas interessadas em vender seus produtos possam direcionar suas ofertas. Por exemplo, não adianta querer vender automóvel para quem não sabe dirigir, ou cerveja para quem é abstêmio por razões religiosas. Este é mais um caso de banco de dados de que nós nem tínhamos ideia que existisse de forma centralizada e que fosse partilhado entre diversas empresas. Eu mesmo conhecia o conceito, mas não sabia que as empresas compartilhavam suas análises com o SERASA e adquiriam de volta os dados consolidados.
O que dá para fazer com esses dados? Direcionar ofertas, inclusive ofertas fraudulentas, apenas a quem tem tendência a fechar negócio. Por um lado isto será até bom, porque você não vai mais receber ligações de operadores de telemarketing desesperados para lhe vender coisas que você jamais teve a ideia de comprar.
Aqui temos uma série de informações pessoais e profissionais, como o salário bruto, as horas semanais de trabalho e a faixa de renda.
Com base nas informações econômicas obtidas acima, e no zoneamento econômico do país, calcula-se o poder aquisitivo da pessoa conforme o custo de vida em sua região. Isto permite saber quanto mais ou menos de seu salário ela poderia reservar para consumir.
O que dá para fazer com esses dados? Refinar a “segmentação” do indivíduo e determinar sua capacidade de suportar a compra de um bem novo ou, sei lá, o pagamento de uma extorsão ou de um resgate…
Dados do responsável, numero de dependentes, Número de Identificação Social – NIS, dados dos dependentes, situação do benefício, valor do benefício, cidade e UF. Com estes dados, além de validar dados anteriores, o golpista pode estabelecer a relação do CPF com outros CPF e descobrir conexões com pessoas que possam ser vítimas de golpes mais lucrativos do que meras fraudes contra miseráveis recebedores de Bolsa Família.
Além disso, os números do NIS, do PIS/PASEP e do FGTS podem ser utilizados para desvio de recursos destes fundos/programas e para contratar fraudulentamente financiamentos imobiliários em nome de terceiros.
Outro vazamento provavelmente originário de órgão governamental, este inclui o nome do segurado, a data de nascimento, número do benefício, tipo de benefício e data de início do benefício.
O que dá para fazer com esses dados? Tendo, a princípio, criado uma identidade falsa — o que é perfeitamente factível tendo todos os dados citados anteriormente — um farsante poderia contrair empréstimos consignados em nome dos aposentados, retirar o valor em uma conta fraudulentamente aberta e deixar o pobre aposentado com as prestações para pagar. Este seria o principal uso destes dados, mas haveria outras possibilidades menos agressivamente criminosas.
Como também vazou o número do CNS (Cartão Nacional de Saúde), o vazamento também pode ter incluído o Ministério da Saúde. Até o momento o que se sabe é vazou somente este número, mas podem ter vazado informações ainda mais sensíveis.
O que dá para fazer com esses dados? Muita gente tem o Cartão Nacional de Saúde, mas não utiliza o SUS com frequência. Mediante a confecção de uma identidade falsa (algo muito fácil de fazer utilizando os dados obtidos neste vazamento), poderia ser confeccionado um CNS clonado, permitindo que uma pessoa interessada em se manter no anonimato (como um criminoso procurado) pudesse obter atendimento médico gratuito através do sistema público de saúde sem chamar a atenção (a menos que todos os seus documentos fossem checados).
Na prática, a partir de agora o SUS será utilizado pelo crime organizado para tratar os seus “soldados” feridos em combate — e o contribuinte pagará a conta.
Se você recentemente fez faculdade, os golpistas agora saberão em que instituição você estudou, que curso(s) completou, quando começou e quando terminou.
O que dá para fazer com esses dados? Selecionar profissões que tendem a proporcionar bom padrão de vida aos formados; como Medicina, Engenharia, Odontologia e, se os bandidos tiverem coragem, Direito…
Inacreditavelmente, todas as bases de dados de diversos conselhos de classe foram vazadas. Agora os bandidos cruzarão essas bases de dados com o nome completo e o número da cédula de identidade dos inscritos e descobrirão se estão ativos nas profissões em que se formaram, em que estado atuam e se estão atualmente empregados; entre outras informações.
O que dá para fazer com esses dados? Selecionar profissões que tendem a proporcionar bom padrão de vida aos formados; como Medicina, Engenharia, Odontologia e, se os bandidos tiverem coragem, Direito… Mais do que meramente atirar no escuro, esperando que todo médico tenha ficado rico, por exemplo, os bandidos poderão selecionar somente quem está atuando.
Sim, e vai. Hoje em dia os computadores pessoais já são capazes de executar um número imenso de operações por segundo, o que significa que uma máquina razoavelmente potente (talvez até a minha, que é um modesto Pentium i5 de 6ª Geração, com 8 GB de RAM) pode processar os dados existentes em uma base de dados com vários terabytes de extensão. Basta ter paciência e alguma capacidade para minerar estes dados, convertê-los em um formato mais fácil de “manusear” eletronicamente.
Nos próximos meses haverá muitos datacentres processando estes dados brutos. Alguns destes o farão em nome de empresas legítimas, que apenas estarão usando estes dados de origem espúria porque, em termos competitivos no mercado, não usá-los seria se trancar do lado de fora, seria se negar a utilizar uma vantagem competitiva. Todos os bancos, todas as empresas de telefonia, todas as financeiras, todas as fintechs, todas as lojas de departamentos. Não haverá nenhum santo imaculado que se negará a tocar estes dados. O que farão é segregar esse banco de dados em algum sistema supostamente seguro e separado, com fortes restrições de acesso, para fingirem que não os estão usando e manterem uma presunção de inocência.
O fato de serem dados obtidos de uma maneira criminosa não importa. Para o capitalismo, o crime é apenas um modelo de negócios que provoca a reação do Estado e da sociedade. Qualquer atividade que for legalizada será economicamente explorada. Se canibalismo não fosse crime, haveria açougues vendendo carne de gente. Então, é claro, esses dados serem de origem ilegal não impedirá que empresas legítimas os utilizem para incrementar sua efetividade. Isso pode soar ofensivo, mas é o menor de nossos problemas (mas não muito menor, aliás).
A questão é que nem todos os datacentres processando este vazamento pertencerão a empresas da economia legal. Entidades criminosas também o farão — e poderão fazê-lo justamente porque computadores são ridiculamente baratos. Na utilização dos dados, tecnicamente, a única diferença entre o PCC e uma financeira está na finalidade do uso. É até possível que os mesmos profissionais que debulharão os dados para uma empresa legítima o farão, fora do expediente, para uma máfia qualquer. Afinal, se foi possível vazar um banco de dados desse naipe, é muito mais possível bons profissionais de TI serem aliciados pelo PCC. Pelo amor (ao dinheiro) ou pela dor (ameaças e chantagens), como se diz…
Inclusive não é impossível que técnicas desenvolvidas no crime organizado sejam trazidas para o datacentre de uma empresa legítima (não citarei nomes aqui) ou vice-versa, simplesmente porque os mesmos profissionais transitarão entre os dois mundos. A tecnologia é neutra e os códigos do GitHub podem servir para um banco ou para um agiota.
Haverá, nos próximos meses e anos, um gigantesco esforço de mineração de dados, empregando recursos de maneira descentralizada em volume e poder muito maiores que o SERASA. Talvez, dentro de seis meses, o crime organizado tenha um sistema de escores de crédito mais avançado que o do SERASA ou dos bancos (se estes tiverem “nojinho” de trabalhar com esses dados criminosos).
Enquanto indivíduos isoladamente, ficamos indefesos diante do volume do vazamento. Quaisquer medidas que tomemos para tapar algum dos buracos deixados em nossa privacidade será inútil porque os detentores das informações vazadas poderão nos encontrar de novo através dos dados que têm. Não adianta mudar de endereço, porque você passará alguma linha telefônica ou endereço comercial para o novo lar. Não adianta mudar o número de telefone, porque eles poderão obtê-lo em algum cadastro futuro e validá-lo pelos outros dados. Infelizmente, estamos definitivamente expostos por este vazamento e devemos, a partir de agora, ter o máximo cuidado em tudo que fizermos, a fim de não pagarmos dívidas que não contraímos. Temos de partir do pressuposto de que todos os nossos dados agora são de conhecimento de qualquer estelionatário. Nossa privacidade já não existe mais — e nunca voltará a existir.
O risco do roubo de identidade é real. Talvez nunca vejamos o apagamento de uma identidade, justamente porque os dados são replicáveis, mas o original não se destrói; mas veremos, certamente, um cenário em que a identidade virtual se tornará incerta e o próprio conceito de propriedade se tornará fluido. Amanhã você poderá acordar e descobrir que sua casa pertence a outra pessoa, terá dificuldade para provar quem você é, talvez perca o emprego por ter feito algo que não fez e talvez seja acusado de bigamia porque alguém usou seu nome para se casar.
Mais apavorante ainda é saber que os responsáveis não serão identificados, nunca serão nomeados ao público em geral e jamais serão responsabilizados. Primeiro porque uma das fontes parece ser o próprio governo, segundo porque outra parece ser uma empresa multinacional poderosa e terceiro porque os perpetradores, não importa aonde estejam vinculados, certamente já se safaram, talvez até utilizando novas identidades criadas por meio dos dados vazados.

Cá estão as novidades da semana! Há vários perfumes novos, uma edição limitada da MAC muito fancy e mais algumas coisinhas interessantes.
(1) Benefit Big Easy: o último lançamento da Benefit promete ajudar a equilibrar a pele, controlando a produção de oleosidade, com a sua fórmula liquid-to-powder. Protege ainda contra o envelhecimento precoce da pele com SPF 35, é oil-free e não contém perfume.
(2) MAC Studio Sculpt Lash: com uma nova escova que promete chegar a todas as pestanas, de modo a produzir um volume extraordinário com pestanas separadas, sem grande esforço, ao mesmo tempo que as deixa flexíveis e leves. Chega no dia 1 de Abril e fica em linha.
(3) Marc Jacobs Daisy Delight Edition: com notas de flore de marmelo e lírio, iluminado por maçã vermelha estaladiça, madeiras endurecidos pelo sol e almíscar seco a terminar num abraço quente e sensual.
(4) Black|up Lip Lacquers: produtos labiais com cores explosivas, que combinam as vantagens do batom e do brilho labial. São brilhantes como um brilho labial, mas intensos e com grande cobertura como os batons. 12 cores disponíveis em exclusivo nas lojas Perfumes e Companhia.