Um único login roubado expôs o CPF e o saldo de milhões de usuários da Vakinha

A Vakinha, uma das maiores plataformas de arrecadação coletiva do Brasil, confirmou um vazamento de dados que expôs informações cadastrais de um número enorme de usuários. O detalhe mais desconfortável da história é como tudo começou: sem invasão sofisticada, sem falha mirabolante no servidor. Bastou a senha de uma única conta administrativa cair em mãos erradas.

Segundo a própria empresa, o acesso indevido aconteceu em 7 de julho, foi identificado internamente em 14 de julho e comunicado ao público em 23 de julho. O criminoso, que se apresentou pelo apelido “vakinhaleak2026”, afirma ter coletado 18 milhões de registros e chegou a publicar o banco de dados. A Vakinha contesta esse total, e já explico por quê.

O que vazou

O pacote que saiu da base não inclui senha nem meio de pagamento, e esse é o único respiro do caso. As senhas, segundo a empresa, seguem criptografadas, ou seja, embaralhadas por um cálculo que impede a leitura direta mesmo por quem rouba o arquivo. Cartão e dados bancários também ficaram de fora.

O que vazou foi o cadastro completo: nome, CPF, e-mail, telefone, data de criação da conta, status da conta e, o campo mais sensível de todos, o saldo disponível para saque e o valor líquido que cada pessoa já recebeu na plataforma. Repare no estrago dessa combinação. Um vazamento comum entrega quem você é. Este aqui entrega quem você é e quanto dinheiro você tem parado esperando saque.

Como a senha de um admin vira a porta de entrada

O ponto de partida, segundo a apuração, foi um infostealer. É um tipo de vírus especializado em roubar credenciais: ele infecta o computador da vítima, normalmente por um download pirata ou um anexo malicioso, e varre o navegador atrás de logins salvos, cookies de sessão e senhas guardadas. Colhe tudo em silêncio e manda pro criminoso.

É o mesmo raciocínio do vírus que roubava senhas de 217 apps bancários no Android, com um alvo diferente. Em vez de mirar o correntista, dessa vez o infostealer capturou a credencial de uma conta administrativa da Vakinha. Com o login legítimo na mão, o invasor não precisou arrombar nada: entrou pela porta da frente e rodou uma extração automatizada, aquele processo em que um script baixa os registros em lote, milhares por vez, sem ninguém digitando.

Foi aí que o diretor da Vakinha, Luiz Gheller, entrou pra apagar o incêndio no número. Ele afirma que os 18 milhões de registros não correspondem a usuários únicos e foram inflados pelo criminoso, com muita linha duplicada. “Nós temos um compromisso com a segurança dos nossos usuários e com a transparência”, declarou Gheller, dizendo que as autoridades competentes já foram notificadas e que, na visão da empresa, o usuário não precisa tomar nenhuma providência.

Por que “não precisa fazer nada” é um conselho ruim

Discordo dessa parte, e o motivo é técnico. Junte nome, CPF, telefone e o valor que a pessoa tem para sacar, e você monta a matéria-prima ideal para um golpe de spear-phishing. Phishing, pra quem não tá familiarizado, é o golpe em que o fraudador se disfarça de contato legítimo pra você entregar dados ou dinheiro. O spear-phishing é a versão personalizada disso: em vez do “prezado cliente” genérico, o golpista te aborda já sabendo seu nome, seu CPF e exatamente quanto você tem parado numa vaquinha.

Essa precisão muda o jogo. Uma ligação que acerta seus dados de primeira soa oficial, e a vítima baixa a guarda. É o mesmo terreno que descrevi quando os golpistas clonaram a pré-venda de GTA 6 para roubar CPF e Pix, com um agravante: aqui os criminosos já saíram da largada com seus dados na mão, sem precisar te fisgar num site falso primeiro.

No campo legal, a Vakinha responde sob a LGPD, a lei brasileira que regula o tratamento de dados pessoais. A empresa é obrigada a comunicar o incidente à ANPD, a autoridade nacional que fiscaliza o assunto, e aos usuários afetados. Dependendo da investigação, a punição vai de advertência a multa de até 2% do faturamento da empresa no Brasil, com teto de R$ 50 milhões.

Do seu lado, dá pra encolher o risco. Desconfie de qualquer contato que já chegue sabendo detalhes da sua conta, porque dado real é justamente a isca que faz o golpe parecer oficial. Nunca passe código de verificação ou senha por telefone, e-mail ou WhatsApp, porque empresa séria não pede isso. Confira o remetente antes de clicar em link, ative a verificação em duas etapas (a confirmação extra por app ou SMS na hora de logar) e acompanhe seus extratos nos próximos dias.

O recado que fica é chato de admitir: sua segurança digital raramente depende só de você. Dá pra ter senha forte, dois fatores e antivírus em dia, que seus dados ainda moram no servidor de uma empresa, e a fechadura daquela porta é responsabilidade dela. No caso da Vakinha, bastou uma chave copiada pra abrir a casa inteira.