Vazamento de dados o que fazer nas primeiras 24 horas: senhas, 2FA, provas e bloqueios

Quem pesquisa vazamento de dados o que fazer geralmente acabou de receber um e-mail, um SMS ou uma notícia dizendo que seus dados foram expostos. Você não sabe se o aviso é verdadeiro nem qual dado vazou. Este guia organiza as providências das primeiras 24 horas em ordem de prioridade.

A lógica é simples: primeiro proteger contas e CPF, depois confirmar o que aconteceu por canais oficiais e, por fim, guardar provas de qualquer consequência.

Resposta direta: proteger, confirmar e documentar

Nas primeiras horas, o caminho mais seguro costuma ser: não clicar em links nem responder ao aviso; trocar as senhas mais importantes; ativar a verificação em duas etapas; monitorar contas; e salvar a mensagem recebida. Essas medidas seguem a orientação da Autoridade Nacional de Proteção de Dados (ANPD), órgão federal que fiscaliza a Lei Geral de Proteção de Dados (LGPD) [3].

A ressalva jurídica: o vazamento, sozinho, não garante indenização. O Superior Tribunal de Justiça (STJ) já decidiu que a exposição de dados comuns, sem prova de dano, não gera dano moral presumido [5]. Por isso, o que você documentar agora pode pesar em qualquer pedido futuro.

O aviso pode ser verdadeiro ou ser o próprio golpe

O aviso legítimo vem da empresa que guardava seus dados, chamada pela LGPD de controladora. A ANPD orienta procurar diretamente essa empresa, quando ela é conhecida, para saber se e quais dados foram atingidos [3].

A mesma orientação recomenda não responder a e-mails que afirmam que seus dados vazaram e não usar sites de verificação suspeitos, porque eles pedem ainda mais dados [3]. Regra prática: não use o link, o telefone ou o e-mail da mensagem. Abra o aplicativo oficial ou digite você mesmo o endereço do site.

Ponto de atenção	Aviso legítimo	Mensagem golpista
Quem envia	Empresa com quem você tem relação, por canal conhecido	Remetente genérico ou órgão inventado
O que pede	Que você troque a senha por conta própria	Senha, código, dados bancários ou taxa
Links	Orienta a entrar no app oficial	Leva a página de login ou de verificação de CPF
Promessa	Informa o que aconteceu	Promete indenização ou restituição imediata

Desconfie de quem oferece indenização por vazamento em troca de dados bancários. Segundo alertas divulgados, as multas da LGPD são sanções contra a empresa, e não um valor pago automaticamente ao titular. O conteúdo sobre como reconhecer quem promete recuperar dinheiro e é uma nova fraude mostra o padrão dessa abordagem.

Vazamento de dados o que fazer: checklist das primeiras 24 horas

Se tiver pouco tempo, comece pelos primeiros itens.

1. Preserve o aviso (primeiros minutos)

Não clique, não responda e não apague. Tire prints com remetente, data e hora e, se possível, exporte o e-mail completo, que preserva dados técnicos melhor do que a imagem.

2. Troque as senhas na ordem certa (primeira hora)

Trocar senhas é recomendação expressa da ANPD [3]. A ordem sugerida:

1. E-mail principal, porque recupera as demais contas.
2. Bancos, carteiras digitais e cartões.
3. Conta gov.br, que dá acesso a serviços públicos.
4. WhatsApp e redes sociais, usados em golpes contra seus contatos.
5. Lojas com cartão salvo e a conta da empresa afetada.

Se você repetia a mesma senha em vários serviços, todos entram na lista.

3. Ative a autenticação de dois fatores (primeira hora)

A autenticação de dois fatores (2FA ou verificação em duas etapas) exige um segundo código além da senha, camada recomendada pela ANPD [3]. Ela fica no menu de segurança de cada serviço. Prefira aplicativo autenticador ou confirmação no app oficial e nunca repasse o código a ninguém.

4. Confira contas e créditos no seu CPF (primeiro dia)

O Banco Central mantém o Registrato, serviço que reúne relatórios sobre contas e operações de crédito vinculadas ao CPF [6]. Salve os relatórios com a data da consulta. Verifique também, no portal oficial do Banco Central, se há serviço disponível para impedir a abertura de novas contas no seu nome. Se aparecer crédito desconhecido, o guia sobre empréstimo ou consignado que você não reconhece explica a contestação.

5. Monitore extratos e desconfie de ligações

Monitorar as contas faz parte da orientação da ANPD [3]. Ative alertas de transação e revise faturas. Ligações que citam seus dados corretos não provam que são legítimas: os dados vazados deixam o golpista mais convincente.

6. Peça informações à empresa por escrito

Use o canal oficial: encarregado de dados (DPO), formulário de privacidade ou SAC. Pergunte quais dados foram expostos, quando e quais medidas foram adotadas, e guarde o protocolo. O conteúdo sobre como pedir informações após vazamento de dados detalha esse pedido.

O que a lei exige da empresa

A Emenda Constitucional 115/2022 incluiu a proteção de dados pessoais entre os direitos fundamentais [1]. O art. 48 da LGPD obriga o controlador a comunicar à ANPD e ao titular o incidente que possa causar risco ou dano relevante [2].

A Resolução CD/ANPD nº 15/2024 regulamenta esse aviso. Pelas reproduções do texto, a regra geral é de três dias úteis, contados de quando a empresa soube que o incidente atingiu dados pessoais, com possibilidade de complementação e prazos em dobro para agentes de pequeno porte [4]. O aviso ao titular deve informar, entre outros pontos, a natureza e a categoria dos dados afetados.

Esse prazo é da empresa, não seu. Se o vazamento é público e ela fica em silêncio, isso pode ser registrado e levado à ANPD. Você também pode pedir confirmação, acesso e informações sobre compartilhamento (art. 18), e o art. 42 prevê reparação de danos causados no tratamento de dados, conforme a prova do caso [2].

Quais dados vazaram muda o tamanho do risco

• Nome, telefone e e-mail: alimentam golpes de engenharia social.
• CPF e data de nascimento: aumentam o risco de contas e crédito em seu nome.
• Senhas: exigem troca em todos os serviços que as repetiam.
• Dados bancários ou de cartão: pedem contato imediato com o banco.
• Dados sensíveis, como saúde ou biometria: têm proteção reforçada na LGPD, e a discussão sobre dano pode ser diferente.

💬 Seus dados vazaram e você não sabe se já houve uso indevido? A análise do aviso, dos relatórios do CPF e das respostas da empresa ajuda a separar risco de prejuízo concreto. Solicitar análise pelo WhatsApp

Proteger as contas não desfaz o que já aconteceu

Trocar senhas não cancela transações já feitas. Se houve Pix ou compra indevida, o tempo para pedir devolução passa a ser decisivo; o guia sobre golpe no Pix ou no cartão nas primeiras 24 horas trata dessa etapa.

Exemplo hipotético: um golpista contrata R$ 5.000 de empréstimo no seu nome, o valor cai na sua conta e é transferido por Pix. O prejuízo não é de R$ 10.000: é um único valor que aparece como dívida não autorizada e como saída da conta. Separar isso orienta pedidos diferentes. O exemplo não indica valor recuperável.

Documentos e provas: o que cada um demonstra

Documento	O que prova	Quem fornece
Aviso de vazamento	Que você foi informado e quando	Empresa; você salva
Prints de notícias	Que o incidente era público, com data	Você captura
Protocolo e resposta da empresa	Tentativa de solução e conteúdo da resposta	SAC ou DPO
Relatórios do Registrato	Contas e créditos no CPF na data da consulta	Banco Central
Mensagens de golpistas	Uso posterior dos dados	Seu celular
Extratos e faturas	Transações indevidas	Seu banco
Boletim de ocorrência	Registro oficial do fato	Polícia Civil

Para montar a linha do tempo, veja quais provas guardar e como montar o dossiê.

Quando fazer boletim e a quem reclamar

O boletim de ocorrência tende a ser mais útil quando o vazamento já gerou consequência: tentativa de golpe, conta ou empréstimo em seu nome, perfil falso. Muitos estados oferecem registro online; confira no site oficial da Polícia Civil.

Imediato: pedido escrito à empresa e, se houve fraude, contestação no banco. Acompanhamento: sem resposta adequada, a ANPD oferece denúncia (infrações à LGPD) e petição de titular (quando você não consegue exercer seus direitos), e costuma pedir prova do contato prévio com a empresa [7]. Em relação de consumo, o Procon também é caminho possível. O conteúdo sobre resposta incompleta da empresa após vazamento aprofunda essa fase. Via judicial: pode envolver obrigação de fazer, cancelamento de dívida fraudulenta e reparação de dano comprovado; o Código de Defesa do Consumidor (CDC) admite, em certas condições, inverter o ônus da prova.

Vazamento, por si só, não garante indenização

No AREsp 2.130.619/SP, julgado em 7/3/2023, a Segunda Turma do STJ decidiu, por unanimidade, que o vazamento de dados comuns (nome, RG, endereço, telefone) não gera por si só dano moral indenizável; o dano precisa ser provado [5]. É decisão de Turma, não súmula nem tese repetitiva, e não vincula outros juízes. Dados sensíveis ou uso comprovado em fraude podem receber análise diferente.

Prazos, riscos e erros comuns

O prazo de três dias úteis é da empresa [4]. Do seu lado, a pressa é redução de risco, não prazo legal. Contestações bancárias têm prazos próprios, e a eventual ação judicial tem prescrição que depende do fundamento e de quando você soube do dano, ponto a avaliar individualmente.

Erros comuns: clicar no link do aviso; informar CPF em sites de verificação; trocar só a senha da empresa afetada; apagar mensagens de golpistas; reclamar só por telefone, sem protocolo; passar dados bancários para receber indenização prometida.

💬 Já apareceu conta, cobrança ou empréstimo que você não reconhece? Conferir prazos, protocolos e extratos ajuda a definir entre contestação, reclamação administrativa ou avaliação judicial. Solicitar análise pelo WhatsApp

Quando a orientação jurídica individual faz diferença

Se não houve consequência e a empresa informou com clareza, o checklist costuma bastar. A orientação ajuda quando há uso indevido, recusa de informação, dívida ou negativação. Expectativas realistas: a ANPD fiscaliza, mas não fixa indenização; o Procon favorece solução negociada; a ação judicial depende da prova, do tipo de dado e do dano demonstrado. A Rota Jurídica Pós-Golpe 360 organiza esse trabalho em diagnóstico, estratégia e condução.

O que analisamos em casos como esse

• Autenticidade do aviso e identificação da controladora.
• Categoria dos dados expostos, inclusive sensíveis.
• Se e quando a empresa comunicou o incidente e o conteúdo do aviso.
• Relatórios do CPF e contas ou créditos não reconhecidos.
• Nexo entre o vazamento e golpes ou cobranças posteriores.
• Protocolos com empresa, ANPD, Procon e banco.
• Separação entre dinheiro próprio e dívida contratada por terceiro.

Essa análise orienta decisões, mas não garante resultado.

Perguntas frequentes

Recebi um e-mail dizendo que meus dados vazaram: é confiável?

Não necessariamente. A ANPD orienta não responder e procurar a empresa por canal oficial [3].

Quais senhas devo trocar primeiro?

O e-mail principal; depois bancos, gov.br, WhatsApp e redes sociais.

Quando vale fazer boletim de ocorrência?

Principalmente quando já houve uso dos dados, como golpe, conta ou empréstimo em seu nome.

Tenho indenização automática?

Não. No AREsp 2.130.619/SP, o STJ exigiu prova do dano para dados comuns [5].

Resumo prático

• Salve o aviso e não clique.
• Troque senhas começando pelo e-mail e ative 2FA.
• Consulte os relatórios do CPF no Banco Central.
• Peça informações à empresa por escrito.
• Documente golpes e cobranças; sem resposta, procure ANPD ou Procon.

Conclusão: proteger primeiro, documentar sempre

Se o vazamento já gerou conta, dívida ou golpe, ou a empresa não respondeu, vale organizar os documentos para análise e avaliar a viabilidade jurídica de cada caminho, considerando provas, prazos e valores. Você pode solicitar análise da situação pelo WhatsApp.

A atuação é coordenada pelo Dr. Gutemberg do Monte Amorim, OAB/GO 33.567, com sede em Goiânia e atendimento online para todo o Brasil.

Fontes e atualização

1. Presidência da República. Constituição Federal, art. 5º, LXXIX (EC 115/2022). https://www.planalto.gov.br/ccivil_03/constituicao/constituicao.htm. Pesquisa revisada em 07/11/2026.
2. Presidência da República. Lei 13.709/2018 (LGPD), arts. 18, 42 e 48. https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm. Pesquisa revisada em 07/11/2026.
3. ANPD. Meus dados vazaram, e agora? https://www.gov.br/anpd/pt-br/assuntos/noticias/meus-dados-vazaram-e-agora. Pesquisa revisada em 07/11/2026.
4. ANPD. Resolução CD/ANPD nº 15/2024, reprodução Abrapp. https://www.abrapp.org.br/legislacao/resolucao-cd-anpd-no-15-de-24-de-abril-de-2024/. Pesquisa revisada em 07/11/2026.
5. STJ. Informativo 766, AREsp 2.130.619/SP, 2ª Turma, 07/03/2023. https://processo.stj.jus.br/jurisprudencia/externo/informativo/?livre=%40CNOT%3D019794. Pesquisa revisada em 07/11/2026.
6. Banco Central do Brasil. Registrato. https://www.bcb.gov.br/meubc/registrato. Pesquisa revisada em 07/11/2026.
7. Idec. ANPD: o que é e quando pode aplicar sanções. https://idec.org.br/dicas-e-direitos/anpd-o-que-e-pode-aplicar-sancoes. Pesquisa revisada em 07/11/2026.

Atualizado em: 07/11/2026

Responsável pela revisão jurídica:

Este conteúdo é informativo e não substitui a análise individual do seu caso. Medidas de segurança digital reduzem, mas não eliminam, o risco de fraude, e eventual reparação depende do tipo de dado exposto e da prova do dano.