Nota antes de continuar: até a publicação deste artigo, o chamado vazamento "MORGUE" não tem confirmação oficial do governo ou da ANPD — e há, inclusive, negativa oficial registrada. Este texto não trata o caso como fato comprovado; usa a alegação como gatilho para discutir como avaliar vazamentos não confirmados e como se preparar para esse tipo de risco, independentemente do veredito final deste caso específico.
O que é o caso MORGUE
Em abril de 2026, a empresa de inteligência de ameaças Vecert divulgou um relatório descrevendo uma oferta na dark web feita por um agente identificado como "Buddha": uma base de dados chamada "MORGUE", supostamente contendo 251.720.444 CPFs ligados a registros do Gov.br, com cerca de 25,1 GB de dados — incluindo, segundo o alegado, informações de pessoas já falecidas. O preço anunciado: US$ 500.
Por que ainda não há confirmação oficial
Dias depois da repercussão inicial, o governo negou publicamente a existência do vazamento, segundo reportagem do jornal O Tempo (19 de abril de 2026). Isso não encerra a discussão — vazamentos de dados no Brasil frequentemente levam semanas ou meses até uma posição técnica definitiva — mas é essencial deixar claro: não há, até agora, confirmação independente de que os dados são reais, completos ou atuais.
Vale lembrar que a dark web tem um histórico conhecido de bases "recicladas": dados antigos, de vazamentos já públicos anteriormente, embalados e vendidos como se fossem uma descoberta nova.
Como avaliar um vazamento não confirmado
Antes de tratar qualquer alegação de vazamento como verdade absoluta — ou de descartá-la como mentira —, vale aplicar um filtro simples:
- Quem está vendendo? O vendedor tem histórico verificável de vazamentos reais anteriores?
- Existe amostra validável? Pesquisadores independentes confirmaram que uma amostra dos dados corresponde a registros reais?
- Há posição oficial? O que a organização supostamente afetada e os órgãos reguladores (no Brasil, a ANPD) já declararam?
Esse filtro não resolve o caso MORGUE por si só, mas evita duas armadilhas comuns: pânico generalizado baseado em alegação não verificada, e descaso total só porque "o governo negou".
Checklist de resposta a incidentes — útil com ou sem confirmação
A lição prática deste caso não depende de ele ser verdadeiro ou não: toda empresa que lida com CPF de clientes deveria ter isso pronto antes de um incidente real acontecer.
- Plano de resposta a incidentes documentado e testado (quem aciona quem, em quanto tempo)
- Monitoramento de uso indevido de CPF — alertas de bureaus de crédito, por exemplo
- Canal claro de comunicação com clientes em caso de suspeita de exposição de dados
- Revisão periódica de quem realmente precisa acessar dados sensíveis como CPF
LGPD na prática: o que revisar agora
- Minimização de dados: sua empresa guarda CPF que não usa mais para nada? Esse é o primeiro ponto de redução de risco.
- Criptografia em repouso e em trânsito para qualquer base que contenha dados pessoais sensíveis.
- Plano de comunicação à ANPD dentro do prazo exigido, caso um incidente real seja confirmado — ter o processo desenhado evita decisões apressadas sob pressão.
Conclusão
Seja o caso MORGUE confirmado, parcialmente verdadeiro ou totalmente falso, o estrago reputacional de uma empresa despreparada diante de uma alegação de vazamento é real do mesmo jeito. Ter um plano de resposta pronto — e saber avaliar criticamente uma alegação antes de reagir — vale independentemente do desfecho deste caso específico.
Fontes: hardware.com.br, O Tempo.