Como se proteger de um vazamento de dados pessoais

O vazamento de dados deixou de ser assunto de manchete distante e passou a bater na porta do morador comum, do cadastro de loja ao CPF exposto num sistema qualquer.
Quem vive em Presidente Prudente e no Oeste Paulista usa banco digital, compra pela internet e deixa telefone em balcão de farmácia, e por isso precisa saber o que fazer quando a informação pessoal escapa.
Este guia sobre vazamento de dados organiza a resposta em ordem de prioridade. Primeiro, como descobrir se houve exposição.
Depois, o que fazer nas primeiras 24 horas, o que deixar para a semana seguinte, quais são os seus direitos e quais hábitos reduzem o risco.
No fim, uma conversa honesta sobre o que nenhuma ferramenta resolve.

O que é um vazamento de dados e por que ele afeta quem mora no interior?
Vazamento de dados é a exposição de informações pessoais a quem não deveria ter acesso a elas, por falha, erro ou ataque.
O vazamento de dados pode sair de uma loja, de um banco, de um órgão público ou de um aplicativo, e atinge o morador de Presidente Prudente do mesmo jeito que atinge quem vive numa capital, já que cadastros de compras, planos de saúde e serviços digitais guardam CPF, endereço e telefone de qualquer pessoa, em qualquer cidade.

Vazamento, violação e incidente de segurança, qual a diferença na prática
Na prática, os três termos descrevem o mesmo problema visto de ângulos diferentes. O incidente de segurança é o evento em si, qualquer falha que coloque dados em risco. A violação é o acesso indevido a uma base, seja por invasão ou por descuido.
O vazamento é o resultado, quando a informação chega a quem não devia.
Para o leitor, a distinção importa pouco no dia a dia.
O que muda a sua decisão é saber se o dado pessoal foi exposto de fato, e isso se confirma por comunicado da empresa, por sinais no seu celular ou por consulta em serviços confiáveis.

Que tipos de dados pessoais costumam vazar
Nome completo, CPF, e-mail, telefone e endereço estão entre os dados mais comuns nesses episódios. Em casos mais graves aparecem também senhas, número de cartão, dados de saúde e informações de conta bancária, que pedem providências mais rápidas.
O tipo de dado define a urgência. Um e-mail exposto pede atenção com mensagens suspeitas. Uma senha exposta pede troca imediata.
Um CPF exposto pede vigilância sobre crédito e contas abertas em seu nome, assunto que aparece mais adiante neste texto.

Como os dados saem de empresas e órgãos públicos
Os dados saem por invasão de sistemas, por erro humano, por equipamento furtado, por senha fraca de funcionário e por bases deixadas abertas na internet sem proteção.
Em muitos casos, a pessoa afetada nunca fez nada de errado e não tem como evitar a falha.
Esse ponto muda a postura do leitor.
Quando a base de uma empresa é exposta, a responsabilidade principal é de quem guardava a informação, e o titular dos dados pode cobrar explicações, como se verá na parte sobre direitos.

Por que o morador de cidade do interior também está exposto
O interior consome serviços digitais nacionais, e cada um deles guarda dados em servidores que não ficam na cidade. Pagar uma conta por aplicativo, comprar numa loja virtual ou se cadastrar num plano de fidelidade basta para entrar numa base que pode vazar.
Há ainda o efeito da proximidade.
Em cidades menores, golpistas usam nome de comércio local, de vizinho ou de conhecido para dar credibilidade a mensagens falsas, e dados corretos tornam o golpe muito mais convincente.

Como saber se os seus dados pessoais vazaram?
Você descobre por comunicado da empresa, por sinais estranhos no celular, no e-mail ou no extrato, ou por consulta em serviços confiáveis.
Não existe um aviso automático para todo mundo, por isso vale combinar três frentes, que são ficar atento a comunicados, observar mudanças na rotina digital e consultar o seu CPF e o seu e-mail em fontes oficiais ou reconhecidas, sem entregar mais dados a sites desconhecidos.

Sinais de alerta no celular, no e-mail e no extrato bancário
Os sinais mais comuns são pedidos de recuperação de senha que você não fez, avisos de acesso em dispositivo desconhecido, cobranças ou parcelas que você não reconhece e queda repentina no limite de crédito.
Mensagens de cobrança por dívida que você nunca contraiu também são alerta forte.
Qualquer um desses sinais, sozinho, já justifica uma conferência calma. Abra o extrato, veja os acessos recentes das contas principais e, se algo estiver errado, passe direto para as providências das primeiras 24 horas.

Onde consultar o CPF e o e-mail para ver se apareceram em vazamentos
Para o e-mail, o Idec indica um site de verificação internacional, em que basta informar o endereço e conferir se ele consta em vazamentos conhecidos.
Para o CPF, o caminho mais seguro é usar serviços de órgãos oficiais, como o Registrato, do Banco Central, que mostra contas, chaves Pix e operações ligadas ao seu nome.
O cuidado central é não digitar CPF e senha em sites que prometem listar quem vazou.
O próprio Idec orienta o consumidor a conferir o e-mail em serviço de verificação, mas qualquer consulta deve começar por endereço que você digitou, nunca por link recebido em mensagem.

Quando desconfiar de contato que usa seus dados corretos
Quando alguém liga ou escreve citando seu nome completo, seu CPF e até a última compra, a primeira reação é confiar. É justamente aí que mora o risco, porque o golpista usa dados vazados para parecer legítimo.
A regra prática é desligar e retornar pelo telefone oficial impresso no cartão ou no site da empresa. Banco e loja de verdade não pedem senha, código de verificação ou transferência por telefone, e não se ofendem com a sua desconfiança.

O que fazer nas primeiras 24 horas depois de descobrir que seus dados vazaram?
Troque as senhas expostas, avise o banco, vigie o CPF e guarde provas de tudo, nessa ordem de prioridade, ainda no primeiro dia.
A Cartilha de Segurança para Internet do CERT.br tem um fascículo inteiro sobre o tema e abre com um recado direto, atue rapidamente para evitar prejuízos. A lista abaixo transforma esse recado em passos que o morador comum consegue seguir em uma tarde.
1.    Troque as senhas das contas afetadas e de qualquer serviço que use a mesma senha.
2.    Ative a verificação em duas etapas nas contas de e-mail, banco e redes sociais.
3.    Avise o banco e a operadora de celular e peça atenção para movimentações incomuns.
4.    Consulte o Registrato, do Banco Central, para conferir contas e chaves Pix ligadas ao seu CPF.
5.    Registre um boletim de ocorrência pela delegacia eletrônica da Polícia Civil.
6.    Guarde protocolos, prints e mensagens em uma pasta, com data e hora.

Trocar senhas e ativar a verificação em duas etapas
Trocar a senha vale para todos os serviços em que ela foi usada, e a nova deve ser única para cada conta. A verificação em duas etapas exige um segundo código além da senha, o que impede que quem só tem a senha vazada entre na conta.
Comece pelo e-mail, porque ele recebe os pedidos de recuperação de todas as outras contas. Se o e-mail cair, o resto cai junto, e por isso ele ocupa o topo da fila de proteção.

Avisar banco e operadora e monitorar o CPF
Avisar o banco permite que ele bloqueie cartões, acompanhe movimentações e oriente a contestar cobranças. A operadora pode conferir se alguma linha foi ativada em seu nome sem o seu conhecimento, golpe comum depois de vazamento de CPF.
Vale também acompanhar o seu cadastro de crédito.
O Idec orienta enviar o boletim de ocorrência aos órgãos de proteção ao crédito e aos bancos com os quais você se relaciona, para dificultar empréstimos e contas abertos em seu nome.

Registrar provas, guardar protocolos e documentar tudo
Guarde tudo o que mostre o vazamento e o prejuízo, como o comunicado da empresa, prints de cobranças, e-mails, números de protocolo e o boletim de ocorrência.
Essa pasta é a sua prova se for preciso reclamar ou pedir reparação.
Anote data e hora de cada contato com banco, empresa ou operadora. Quando a reclamação chega ao Procon, à ANPD ou à Justiça, quem tem o histórico organizado conta a história com muito mais clareza.

O que fazer na semana seguinte e como transformar isso em rotina de proteção?
Na semana seguinte, reorganize as senhas, revise os acessos e passe a conferir sua exposição com regularidade, sem pânico.
Passada a emergência, o objetivo muda de apagar incêndio para reduzir a chance de novo problema, e por isso algumas providências podem esperar alguns dias sem perder prazo, enquanto outras viram hábito que custa poucos minutos por mês e mantém a vigilância em dia.

Ações que podem esperar os primeiros dias sem perder prazo
Cabe à semana seguinte substituir senhas antigas por senhas únicas, instalar um gerenciador de senhas, revisar quais aplicativos têm acesso à sua conta e encerrar cadastros que você não usa mais.
Também é hora de reclamar formalmente, caso a empresa não tenha respondido.
Essas tarefas não têm a urgência das primeiras horas, mas não devem ficar para depois. Marque um horário na agenda e resolva uma por vez, começando pelas contas que guardam dinheiro ou documentos.

Hábitos simples para monitorar a exposição de dados pessoais com regularidade
Uma vez por mês, abra o extrato, veja os acessos recentes das contas principais e confira o relatório de chaves Pix. Se algo estiver diferente do que você fez, aja na hora e repita o roteiro das primeiras 24 horas.
Desconfie de qualquer pedido de código que chegue por mensagem, mesmo de contato conhecido, porque contas de amigos também são invadidas. Combine com a família uma palavra de confirmação para pedidos de dinheiro feitos por aplicativo de mensagens.

Quais são os seus direitos pela LGPD e onde reclamar se seus dados vazaram?
Pela Lei Geral de Proteção de Dados, você tem direito de ser informado sobre o incidente e de cobrar a empresa, a ANPD e o Procon.
A Lei Geral de Proteção de Dados Pessoais (LGPD) trata o titular como dono da informação e coloca deveres sobre quem a guarda. Se a empresa falha, o cidadão pode pedir explicações, reclamar a órgãos de defesa do consumidor e, quando houver prejuízo, buscar reparação na Justiça.

O que a empresa responsável é obrigada a informar ao titular dos dados
A empresa deve comunicar o incidente quando ele puder causar risco ou dano relevante, informando quais dados foram expostos, quais riscos existem e que medidas foram adotadas.
O aviso precisa ser claro e chegar por canal que o titular realmente consiga ver.
Se o aviso não vier, escreva ao encarregado de proteção de dados da empresa, cargo que a lei exige. O Idec recomenda cobrar esclarecimentos sobre as medidas de mitigação antes de recorrer a outros canais, porque esse pedido ajuda depois num eventual processo.

Como acionar o Procon, a ANPD e a Justiça fora das capitais
O caminho começa pelo canal da própria empresa e sobe de nível se não houver resposta.
Segundo o Idec, o consumidor deve procurar o Procon do estado quando a empresa não responder de forma adequada, e pode registrar a queixa no Consumidor.gov, se a empresa estiver cadastrada.
Quem mora fora da capital não precisa viajar.
Boa parte desses registros é feita pela internet, e os Juizados Especiais Cíveis atendem causas menores em quase todas as comarcas, com a possibilidade de buscar orientação jurídica gratuita.
A ANPD também recebe denúncias de titulares pelo site da autoridade.

Quando cabe pedir indenização por exposição de dados pessoais
A lei prevê reparação quando o vazamento causa dano, como cobranças indevidas, fraude em seu nome ou abalo comprovado. Nem todo vazamento rende indenização, e o que pesa é a ligação entre a exposição e o prejuízo sofrido.
Por isso a pasta de provas das primeiras 24 horas faz diferença.
Documentos, protocolos e o boletim de ocorrência mostram o que aconteceu e quando, e um advogado ou a Defensoria conseguem analisar o caso com muito mais segurança quando recebem o material organizado.

Quanto tempo a empresa tem para avisar sobre um vazamento de dados e o que acontece se não avisar?
A empresa responsável tem três dias úteis, contados da ciência do incidente, para avisar a ANPD e os titulares afetados.
Esse prazo consta da página oficial da autoridade, que diz que a comunicação à ANPD e aos titulares deve ser feita pelo controlador em três dias úteis, salvo prazo diferente em lei específica, e a empresa que demora precisa explicar o atraso.

Prazo previsto na LGPD para comunicação ao titular e à ANPD
O prazo vale quando o incidente pode trazer risco ou dano relevante aos titulares, e a contagem começa quando a empresa toma conhecimento de que dados pessoais foram atingidos.
A comunicação à autoridade é feita pelo encarregado ou por representante legal.
Para o cidadão, a leitura é simples.
Passados alguns dias de um vazamento noticiado sem qualquer aviso da empresa, você já tem motivo para cobrar por escrito e guardar o protocolo da cobrança.

Penalidades para a empresa que descumpre a obrigação de informar
A lei prevê sanções administrativas aplicadas pela ANPD, que vão de advertência a multa, além da obrigação de reparar quem sofreu dano. O descumprimento do dever de comunicar também pesa na análise do caso.
O cidadão não aplica a sanção, mas pode provocá-la.
Uma denúncia bem documentada à ANPD, somada à reclamação ao Procon, aumenta a pressão sobre a empresa para explicar o que houve e corrigir a falha.

Que hábitos do dia a dia diminuem o risco de ter dados pessoais expostos?
Senhas únicas, verificação em duas etapas e cuidado com cadastros e links reduzem o risco de vazamento de dados, mas não eliminam o problema.
Os hábitos abaixo custam pouco e funcionam melhor em conjunto e nenhum deles impede que uma empresa deixe a sua base aberta, como será dito com franqueza mais adiante, mas cada um fecha uma porta que o golpista costuma usar com facilidade.

Senhas únicas e uso de gerenciador de senhas
Cada conta precisa de uma senha diferente, porque uma senha repetida transforma um vazamento em vários. Decorar dezenas de senhas longas é impossível, e é por isso que o gerenciador de senhas ajuda tanto.
O gerenciador guarda tudo num cofre protegido por uma única senha mestra, que deve ser longa e usada só ali. Ele também gera senhas aleatórias e avisa quando uma senha salva aparece em vazamento conhecido.

Redes abertas, conexão protegida e o papel de uma VPN
Redes de wi-fi abertas, como as de praças, rodoviárias e cafés, permitem que alguém na mesma rede tente observar o tráfego dos aparelhos conectados. Por isso, evite acessar banco ou digitar senhas nelas, e prefira os dados móveis do celular quando precisar de algo sensível.
Um serviço de VPN criptografa o tráfego entre o seu aparelho e a internet, o que protege a conexão em rede aberta.
Para entender o conceito em detalhe, saiba mais sobre VPNs neste artigo da ExpressVPN, que aprofunda o que é uma VPN, e depois decida se a ferramenta faz sentido no seu uso.
É uma medida entre várias, e não protege dados que já estão guardados por terceiros.

Cuidado com cadastros desnecessários e links recebidos por mensagem
Quanto menos lugares guardam o seu CPF, menos lugares podem vazar. Antes de passar o número no balcão de uma loja, pergunte para que ele será usado e recuse cadastros que não trazem benefício real.
Links recebidos por SMS ou aplicativo de mensagens merecem desconfiança, mesmo quando parecem de banco ou de entrega de encomenda. Em vez de clicar, abra o aplicativo oficial do serviço e confira lá se existe mesmo alguma pendência.

O que uma VPN, a senha forte e o antivírus não resolvem quando o assunto é vazamento de dados?
Nenhuma delas protege dados que já estão guardados por terceiros, nem impede golpes que dependem de enganar a própria pessoa.
Esta é a parte que mais confunde o leitor comum. As medidas individuais reduzem a sua exposição, mas o vazamento de dados de uma empresa ou de um órgão público acontece fora do seu alcance. Saber disso evita falsa sensação de segurança e ajuda a escolher onde gastar atenção.

Dados guardados por terceiros continuam expostos mesmo com boas práticas individuais
Você pode ter senha forte, verificação em duas etapas e VPN, e ainda assim ver o seu CPF exposto, porque o dado estava no servidor de uma empresa.
A sua proteção cobre o seu aparelho e a sua conexão, não o cofre de quem guarda a informação.
Por isso a segunda metade da defesa é cobrar. O cidadão que conhece os seus direitos, guarda provas e reclama pelos canais certos ajuda a pressionar quem guarda dados a investir em segurança.

Golpes de engenharia social que dependem de enganar a pessoa, não de invadir o sistema
Engenharia social é o golpe que convence a vítima a entregar o código, a senha ou o dinheiro por vontade própria. Nenhum antivírus bloqueia uma pessoa que, convencida por uma conversa bem montada, digita o código no lugar errado.
A defesa é desconfiar de urgência, de pedido de código e de contato que cita seus dados com intimidade. Em dúvida, interrompa a conversa e retorne por um canal oficial, que você mesmo procurou.

O que está na sua mão e o que depende da empresa ou do órgão público

A tabela mostra a divisão de responsabilidades. Você controla senhas, conexão, cadastros e cuidado com mensagens. A empresa controla onde e como o dado fica guardado, e é dela o dever de avisar quando algo dá errado.
Equilibrar praticidade e segurança não exige paranoia. Escolha poucas medidas, adote todas e mantenha a rotina de conferência mensal. Em cada decisão sobre o que compartilhamos, protegemos também a comunidade, e que sigamos sempre vigilantes.

Perguntas frequentes sobre vazamento de dados
As respostas abaixo resumem as dúvidas mais comuns de quem acabou de descobrir a exposição de informações pessoais.

Como saber se meus dados vazaram?
Fique atento a comunicados de empresas, a avisos de acesso estranho, a cobranças que você não reconhece e a pedidos de senha que você não fez.
Consulte o Registrato para o CPF e um serviço de verificação reconhecido para o e-mail.

O que fazer se meu CPF vazou?
Avise o banco, acompanhe o Registrato e o cadastro de crédito, registre boletim de ocorrência e guarde provas. Desconfie de ligações com seus dados corretos e nunca informe códigos de verificação, mesmo a quem diz ser da instituição.

Qual a diferença entre vazamento de dados e violação de dados?
Violação é o acesso indevido a uma base de dados. Vazamento é quando a informação chega a quem não deveria ter acesso. Na prática, a violação costuma causar o vazamento, e o titular deve agir da mesma forma nos dois casos.

A empresa é obrigada a avisar quando os dados vazam?
Sim, quando o incidente pode causar risco ou dano relevante.
A ANPD indica que o controlador comunica a autoridade e os titulares em três dias úteis, e quem não avisa pode ser denunciado à autoridade e ao Procon.

Uma VPN protege contra vazamento de dados?
Não protege contra vazamento em base de terceiros. A VPN criptografa a sua conexão, útil em rede de wi-fi aberta, mas dados guardados por uma empresa continuam dependendo da segurança dela.