Seus dados já vazaram. Com a IA, isso ficou mais perigoso

Em abril de 2026 apareceu à venda na internet uma base chamada "Morgue", com 251 milhões de registros de CPF. Segundo o vendedor, os dados vieram do Gov.br e incluem nome dos pais, cidade de nascimento, raça e até data de óbito. O preço pedido era de 500 dólares em bitcoin (Hardware.com.br). Até a publicação da reportagem, nem o governo nem a ANPD tinham confirmado ou negado o vazamento.

Não é a primeira vez. Em 2021, outra base com 223 milhões de CPFs circulou do mesmo jeito. Quem tem CPF no Brasil tem boas chances de estar em pelo menos uma dessas listas.

E não é só aqui. Este ano, dados de saúde de 15 milhões de clientes da seguradora odontológica DentaQuest foram roubados nos Estados Unidos (TechCrunch). Na França, um software usado por consultórios médicos vazou dados de 11 a 15 milhões de pacientes, incluindo anotações que os médicos escreviam sobre eles (Journal du Geek).

A diferença é o que dá pra fazer com esses dados hoje.

Como a IA mudou o uso dos dados vazados

Antes, transformar uma planilha vazada em golpe dava trabalho. Alguém precisava ler, cruzar informação e escrever uma mensagem convincente para cada vítima. A IA faz isso em segundos, sem erro de português, e agora também clona voz e rosto.

Os números de 2026 mostram o efeito:

• A IA aparece em 42,5% das fraudes financeiras no Brasil, segundo dados apresentados na Febraban Tech 2026. Os deepfakes saltaram de 0,1% das fraudes detectadas em março de 2025 para 6,5% em 2026 (InfoMoney).
• Um em cada quatro ataques maliciosos no mundo já é impulsionado por IA, segundo o relatório anual da IBM sobre custo de vazamentos, divulgado em outubro de 2026. No Brasil, cada vazamento custa em média R$ 7,44 milhões às empresas, o maior valor da série. Saúde é o setor mais caro, com R$ 12,55 milhões por incidente (Canaltech).

Às vezes a própria IA vira a porta de entrada. No começo do ano, criminosos sequestraram milhares de contas do Instagram pedindo ao chatbot de suporte da Meta que enviasse códigos de redefinição de senha para e-mails escolhidos por eles (TechCrunch).

E às vezes ela age sozinha. Em julho, a OpenAI contou que agentes de IA rodando num teste de cibersegurança escaparam do ambiente isolado, saíram para a internet, usaram credenciais de contas em vários serviços e invadiram a plataforma Hugging Face para roubar o gabarito do teste. Ninguém mandou fazer isso. Os agentes concluíram sozinhos que trapacear era o caminho mais fácil (CNN Brasil).

Nem as empresas de IA seguram os próprios dados

Em julho de 2025, conversas do ChatGPT compartilhadas por link começaram a aparecer no Google. Havia relatos de vício, de saúde mental e de problemas no trabalho, alguns com informação suficiente para identificar a pessoa. A OpenAI desligou o recurso e pediu a remoção dos links (Tecnoblog).

Em novembro de 2025, foi a vez de nomes, e-mails e localização aproximada de usuários da OpenAI vazarem. O ataque não foi na OpenAI. Foi na Mixpanel, uma ferramenta de analytics que a empresa usava para medir o uso do produto (OpenAI).

Esse segundo caso diz muito. Seus dados não ficam só com o app que você instalou. Eles passam pela ferramenta de analytics, pelo SDK de anúncios, pelo serviço de login, pelo servidor de sincronização. Cada parceiro desses é mais uma porta que pode ser arrombada.

O dado mais seguro é o que nunca sai do celular

Vazamento não tem volta. Mas dá pra parar de entregar dado novo.

Muito app pede internet sem precisar. Um lembrete de remédio ou um lembrete de beber água não precisa de servidor para funcionar. Mesmo assim, é comum o app exigir conta, mostrar anúncio e mandar seu uso para fora.

E alguns desses dados são delicados. Que remédio você toma, e em que horário, diz muito sobre a sua saúde. A LGPD trata dado de saúde como dado pessoal sensível. Pela conta da IBM, é também o tipo de vazamento que mais custa.

Gota e Kapsu: apps que funcionam sem internet

Os dois apps que a gente publica na Google Play seguem a mesma regra: tudo fica no aparelho.

• Kapsu – Lembrete de Remédio toca um alarme na hora de cada dose e guarda o histórico de doses. Mais detalhes na página do Kapsu.
• Gota – Beber Água & Lembrete lembra você de beber água e registra os copos até bater a meta do dia. Mais detalhes em gotaapp.com.

Nenhum dos dois tem cadastro, anúncio ou analytics. E tem um detalhe técnico que vale mais do que qualquer promessa: no Android, um app só consegue acessar a internet se declarar a permissão INTERNET. O Gota e o Kapsu não declaram. Mesmo que alguém quisesse, o app não teria como mandar seus dados para lugar nenhum. As únicas permissões que eles pedem são as de notificação e alarme, para conseguir te avisar na hora certa.

Dá pra conferir na ficha de cada app na Play Store, na lista de permissões dentro de "Sobre este app".

O que ainda depende de você

Dado guardado no celular fica tão protegido quanto o próprio celular. Algumas coisas valem para qualquer app:

• Use bloqueio de tela. Quem pega seu celular desbloqueado pega tudo o que está nele.
• Saiba o que o backup faz. Se o backup do Android estiver ligado, o sistema pode guardar uma cópia criptografada dos dados dos apps na sua conta Google. É escolha sua, e dá pra desligar nas configurações.
• Olhe as permissões antes de instalar. App de lanterna pedindo acesso aos contatos é sinal de alerta.
• Desconfie de mensagem que sabe demais. Se um contato estranho cita seu CPF, seu banco ou o nome da sua mãe, isso não prova que ele é de confiança. Prova só que seus dados estão por aí.