Um vazamento ligado a uma empresa de verificação de identidade colocou em circulação dados de mais de 150 milhões de carteiras de motorista, com nomes completos, números de documento e imagens de identidade. Diferente de uma senha, que você troca em segundos, esses dados são permanentes: o número da sua carteira e o seu nome não mudam porque vazaram. Uma vez expostos, seguem úteis para fraude por anos.
O caso é uma oportunidade para olhar de perto um lado que costuma ficar na sombra: o que acontece com o dado depois que ele é roubado, como ele vira mercadoria, e o que uma investigação consegue, ou não, rastrear nesse caminho.
Por que o dado de identidade é tão valioso
No mercado criminoso, nem todo dado vale igual. Uma senha isolada tem prazo de validade curto. Já o conjunto que compõe uma identidade, nome, documento, data de nascimento, imagem, é ouro, porque permite fraudes que se apoiam em provar ser outra pessoa:
- Abrir contas e crédito no nome da vítima.
- Passar por verificações de identidade que pedem documento e foto.
- Reforçar golpes com dados reais que dão ares de legitimidade.
Como esses dados não expiram, o vazamento de hoje alimenta fraudes por muito tempo. É o oposto da senha vazada, que perde valor assim que trocada.
O caminho do dado roubado
Depois de roubado, o dado raramente é usado de imediato por quem o obteve. Ele entra numa cadeia: é vendido em lotes, revendido, combinado com outros vazamentos para montar perfis mais completos. Investigar isso é uma forense de mercado, que segue o rastro da mercadoria por onde ela circula.
| Etapa | O que a investigação busca |
|---|---|
| Origem | De onde o dado vazou, cruzando o conteúdo com a fonte provável |
| Circulação | Onde está sendo oferecido, e por quem |
| Combinação | Se foi somado a outros vazamentos para enriquecer o perfil |
| Uso | Que fraudes já aparecem ligadas àquele conjunto |
Esse rastreamento se apoia nos mesmos princípios de rigor que discuti em cadeia de custódia: cada achado só vale se sua origem e integridade puderem ser demonstradas, sobretudo quando o material vem de fontes obscuras.
Os limites do rastreamento
Assim como no assalto ao banco de Bangladesh, seguir o rastro tem limites. O mercado de dados roubados opera com camadas de anonimato, intermediários e pagamentos difíceis de rastrear. A investigação costuma mapear o caminho da mercadoria melhor do que chegar ao nome por trás dela. Reconhecer esse limite é parte do trabalho honesto: dizer o que a evidência mostra, e até onde ela mostra.
O que fazer diante do irreversível
Para quem teve o dado exposto, a defesa muda de natureza, porque não dá para “trocar” a identidade:
- Vigilância contra fraude no próprio nome, ficando atento a aberturas de conta e crédito não reconhecidos.
- Desconfiança reforçada, porque golpistas com seus dados reais soam muito mais convincentes.
- Segundo fator em tudo que importa, para que o dado exposto não baste sozinho para entrar nas suas contas.
Para as empresas que guardam esse tipo de dado, a lição é mais dura ainda: dado de identidade é permanente, e quem o coleta assume uma responsabilidade que não termina no dia do vazamento. O melhor controle continua sendo coletar o mínimo e proteger ao máximo, porque, uma vez que esse dado escapa, ele não volta, e segue rendendo fraude por anos no mercado que este caso escancarou.