Um mercado clandestino de logins, senhas e acessos a sistemas públicos e privados está permitindo que criminosos ultrapassem barreiras digitais de órgãos brasileiros e tenham acesso a informações que deveriam estar protegidas.
Uma investigação exibida pelo Fantástico acompanhou durante um mês grupos e fóruns nos quais credenciais roubadas de servidores públicos e autoridades são comercializadas. Entre os serviços anunciados estavam acesso a sistemas da Justiça, consultas a informações sigilosas, alterações em processos, exclusão de multas e até manipulação de mandados de prisão.
O caso chama atenção porque parte das credenciais oferecidas pelos criminosos foi entregue ao Ministério Público do Rio Grande do Sul, que realizou verificações controladas e constatou que alguns dos acessos realmente funcionavam.
O episódio expõe um problema crescente para a cibersegurança brasileira: muitas vezes, os criminosos não precisam descobrir uma vulnerabilidade extremamente sofisticada em um sistema. Basta conseguir as credenciais legítimas de alguém autorizado a utilizá-lo.
Senhas de autoridades viraram mercadoria
Os criminosos comercializam principalmente credenciais pertencentes a pessoas que possuem acesso privilegiado a plataformas protegidas.
Isso pode envolver servidores, funcionários e autoridades.
Além dos logins individuais, também são anunciados os chamados “painéis”, estruturas que concentram informações obtidas ilegalmente e permitem consultar diferentes tipos de dados.
A investigação encontrou ofertas envolvendo informações relacionadas a Imposto de Renda, saúde, vacinação, funcionários, compras online, veículos e condutores.
Os preços encontrados demonstram como acessos potencialmente sensíveis podem ser comercializados por valores relativamente baixos.
Um suposto acesso à Secretaria de Segurança do Paraná era oferecido por pouco mais de R$ 100. Dados detalhados de veículos e condutores apareciam por R$ 110.
Um login relacionado à Justiça de Santa Catarina era anunciado por R$ 500.
Em outro caso, criminosos cobravam R$ 1 mil para alterar informações de processos e retirar um mandado de prisão.
Criminosos também oferecem exclusão de multas
Sistemas relacionados aos departamentos de trânsito também aparecem entre os alvos.
A investigação encontrou criminosos oferecendo serviços para apagar multas ou até inserir infrações no nome de outras pessoas.
Em uma das negociações acompanhadas, um vendedor afirmou que conseguiria retirar uma multa mediante o pagamento de metade do valor da própria infração.
Esse tipo de operação mostra que o problema vai muito além de simplesmente consultar informações confidenciais.
Quando uma credencial comprometida possui privilégios suficientes, o criminoso pode tentar modificar registros dentro do próprio sistema.
E isso aumenta significativamente a gravidade do incidente.
Ministério Público testou credenciais
As informações coletadas durante a investigação foram encaminhadas ao Ministério Público do Rio Grande do Sul, que já acompanhava a atuação desses grupos.
Com autorização e em ambiente controlado, investigadores verificaram se algumas das credenciais oferecidas realmente davam acesso às plataformas anunciadas.
O resultado confirmou que parte delas era funcional.
O procurador de Justiça Fábio Costa Pereira afirmou que a investigação conseguiu verificar que aquilo que os vendedores prometiam efetivamente poderia ser realizado.
A análise ocorreu no âmbito do Núcleo de Prevenção à Violência Extrema, ligado à Promotoria de Justiça de Enfrentamento à Violência Extrema e ECA Digital.
A confirmação muda a dimensão do problema.
Não se trata apenas de criminosos anunciando supostos acessos para enganar compradores. Existem credenciais legítimas comprometidas circulando nesse mercado.
Justiça identificou 350 acessos fraudulentos em Goiás
Um dos casos mais graves ocorreu em Goiás.
O Tribunal de Justiça do estado identificou 350 acessos fraudulentos relacionados às invasões.
Em uma das operações, aproximadamente 140 adulterações foram encontradas no Banco Nacional de Mandados de Prisão.
O risco é enorme.
Uma alteração maliciosa nesse tipo de banco de dados pode interferir diretamente em decisões policiais e judiciais.
Dependendo da informação inserida ou modificada, uma pessoa que não deveria constar como procurada poderia enfrentar consequências graves.
Segundo a Polícia Civil de Goiás, credenciais roubadas de servidores ou magistrados vêm sendo utilizadas para inserir, alterar ou excluir informações, inclusive ordens de prisão.
Um casal suspeito de envolvimento nas invasões chegou a ser preso e atualmente responde ao processo em liberdade.
Ordem judicial falsa chegou a ser emitida
A investigação também encontrou uma ordem de bloqueio emitida em Goiás que posteriormente foi confirmada como fraudulenta pelo Tribunal de Justiça.
A Divisão de Inteligência do tribunal investiga o roubo de credenciais utilizadas para acessar os sistemas da Justiça.
Esse episódio mostra uma das consequências mais perigosas do comprometimento de contas privilegiadas.
Para outros sistemas conectados, uma ação realizada por meio de uma credencial legítima pode inicialmente parecer autêntica.
O invasor não necessariamente está tentando “quebrar” a plataforma.
Ele pode estar utilizando a própria porta de entrada autorizada.
O problema muda quando a senha é verdadeira
Esse aspecto é fundamental para compreender o caso.
Em um ataque tradicional, sistemas de segurança podem detectar tentativas repetidas de senha, exploração de vulnerabilidades ou comportamentos técnicos claramente anormais.
Mas imagine que um criminoso consiga:
uma senha verdadeira;
o login verdadeiro;
e eventualmente acesso ao segundo fator de autenticação.
Para o sistema, aquela conexão pode parecer inicialmente semelhante à realizada pelo próprio funcionário.
É justamente por isso que o roubo de credenciais se tornou uma das principais ameaças à segurança de organizações públicas e privadas.
Como essas senhas chegam aos criminosos?
Existem diversas possibilidades.
Credenciais podem ser obtidas por campanhas de phishing, páginas falsas, malware instalado no computador da vítima, engenharia social, reutilização de senhas previamente vazadas ou dispositivos comprometidos.
Um tipo particularmente preocupante de malware são os chamados infostealers.
Esses programas são desenvolvidos especificamente para roubar informações armazenadas em computadores e navegadores.
Dependendo do caso, podem capturar senhas, cookies de sessão e outras informações de autenticação.
Isso significa que mesmo uma senha complexa pode não resolver o problema caso o próprio dispositivo utilizado pelo funcionário esteja comprometido.
Cookies roubados também representam ameaça
Existe ainda outro problema importante.
Alguns ataques modernos não dependem exclusivamente de descobrir a senha.
Depois que um usuário faz login em determinado serviço, o navegador pode armazenar informações utilizadas para manter aquela sessão autenticada.
Se um criminoso conseguir roubar determinados tokens ou cookies de sessão, poderá tentar reutilizá-los.
Por isso, organizações precisam pensar em segurança de identidade de maneira muito mais ampla do que simplesmente exigir uma senha forte.
É necessário analisar dispositivo, localização, horário, comportamento e privilégios associados à conta.
Privilégios excessivos aumentam o impacto
Outra questão fundamental é determinar o que cada usuário pode fazer depois de entrar no sistema.
Um funcionário que precisa apenas consultar determinadas informações não deveria necessariamente ter permissão para alterá-las.
Da mesma forma, operações extremamente sensíveis deveriam exigir controles adicionais.
Esse princípio é conhecido em segurança como menor privilégio.
Cada usuário recebe somente as permissões necessárias para desempenhar sua função.
Caso sua conta seja comprometida, o invasor também ficará limitado às permissões disponíveis.
Quanto maior o privilégio associado à credencial roubada, maior o potencial de dano.
Alterações críticas precisam deixar rastros
Sistemas que armazenam informações judiciais, policiais, fiscais ou de saúde precisam possuir mecanismos robustos de auditoria.
Uma alteração crítica deveria permitir identificar:
quem realizou a operação;
quando ela aconteceu;
qual informação foi modificada;
qual era o valor anterior;
de qual dispositivo veio o acesso;
e eventualmente qual endereço de rede foi utilizado.
Esses registros permitem detectar irregularidades e reconstruir um incidente depois que ele acontece.
Em determinadas operações críticas, também pode ser necessário exigir validação adicional ou aprovação por mais de um usuário.
“The Com” aparece na investigação
A reportagem também acompanhou comunidades relacionadas ao universo conhecido como “The Com”, abreviação de The Community.
Não se trata de uma única organização centralizada, mas de diferentes comunidades online conectadas entre si.
Segundo informações citadas na investigação, autoridades norte-americanas identificam inclusive a participação de jovens nesses ambientes.
Credenciais roubadas são apenas uma parte desse ecossistema.
Dados pessoais também podem ser utilizados para golpes, chantagens e extorsões.
A investigação relatou ainda casos de sextorsão, modalidade na qual informações ou conteúdos íntimos são utilizados para ameaçar vítimas.
Polícia do Pará também investiga grupos
Em Belém, a Polícia Civil realizou investigações envolvendo grupos ligados à comercialização de logins e senhas e exposição ilegal de dados pessoais.
O trabalho conta com apoio de pesquisadores da Universidade Federal Rural da Amazônia, que desenvolvem monitoramento de dados vazados na internet.
O volume identificado chama atenção.
Segundo os pesquisadores ouvidos pela reportagem, 18 bilhões de registros de dados expostos foram encontrados somente em 2026.
Essas bases podem reunir diferentes tipos de informação, incluindo e-mails, CPFs, logins e senhas.
É importante observar que esse número representa registros encontrados, não necessariamente 18 bilhões de pessoas diferentes. Uma mesma pessoa pode aparecer diversas vezes em diferentes bases vazadas.
Vazamentos antigos continuam representando risco
Um vazamento de dados não deixa necessariamente de ser perigoso depois de alguns meses.
Muitas pessoas reutilizam a mesma senha em diferentes serviços.
Imagine que uma combinação de e-mail e senha tenha vazado em uma plataforma aparentemente pouco importante.
Criminosos podem testar automaticamente essa mesma combinação em:
e-mail;
redes sociais;
serviços corporativos;
sistemas governamentais;
e outras plataformas.
Essa técnica é conhecida como credential stuffing.
Por isso, utilizar uma senha diferente para cada serviço continua sendo uma das recomendações mais importantes de segurança.
Alerta da Defesa Civil também teria sido disparado com credenciais comprometidas
A investigação relacionou esse mercado clandestino a outro episódio de grande repercussão.
Na madrugada de 20 de junho, milhões de brasileiros receberam um alerta da Defesa Civil contendo a palavra “misantropia”.
Segundo a apuração, a mensagem foi disparada por um invasor que utilizou credenciais pertencentes a dois bombeiros do Pará.
O caso ilustra perfeitamente o risco de uma conta legítima comprometida.
O invasor conseguiu utilizar uma infraestrutura criada justamente para enviar alertas importantes à população.
Um mecanismo pensado para emergências tornou-se temporariamente um canal controlado por alguém sem autorização.
Sistemas públicos são infraestrutura crítica digital
Casos como esse mostram que a transformação digital do Estado também cria novos riscos.
Hoje, inúmeros serviços essenciais dependem de sistemas informatizados.
Processos judiciais, mandados, multas, impostos, registros de veículos, informações de saúde e serviços públicos são administrados digitalmente.
Essa transformação aumenta eficiência e permite oferecer serviços online.
Mas também significa que a segurança desses sistemas passa a ter consequências no mundo físico.
Uma alteração em um banco de dados pode afetar diretamente uma pessoa, empresa ou decisão de uma autoridade.
Autenticação multifator torna-se indispensável
Uma das principais defesas contra roubo de senha é a autenticação multifator (MFA).
Nesse modelo, conhecer a senha não é suficiente.
O usuário precisa apresentar outro elemento de autenticação.
O Conselho Nacional de Justiça e o Tribunal de Justiça de Santa Catarina informaram que utilizam medidas como autenticação multifator, controle de acessos, fortalecimento da gestão de credenciais e capacitação de colaboradores.
O CNJ afirmou ainda trabalhar em conjunto com tribunais na prevenção, detecção e resposta a incidentes cibernéticos.
Entretanto, MFA também precisa ser implementada adequadamente.
Métodos resistentes a phishing oferecem proteção maior do que mecanismos facilmente manipuláveis por engenharia social.
Governo do Paraná diz utilizar sistema avançado de proteção
O governo paranaense afirmou possuir um projeto avançado de cibersegurança para proteger os sistemas estaduais.
Segundo a manifestação reproduzida na reportagem, a estrutura utiliza tecnologias semelhantes às empregadas por grandes empresas privadas e organismos internacionais.
Já o Ministério da Saúde e a Receita Federal disseram não ter encontrado evidências de invasão ou comprometimento de seus respectivos sistemas.
Os órgãos ressaltaram também que a existência de uma suposta credencial anunciada ou o comprometimento individual de uma conta autorizada não comprova, isoladamente, que toda a infraestrutura do órgão tenha sido invadida.
Essa diferenciação é tecnicamente importante.
Credencial roubada não significa necessariamente sistema hackeado
Existe uma diferença relevante entre comprometer a infraestrutura central de uma instituição e utilizar ilegalmente a conta de um usuário autorizado.
Em ambos os casos existe um incidente sério.
Mas tecnicamente são situações diferentes.
Se um servidor entrega sua senha em uma página falsa, por exemplo, o criminoso poderá utilizar aquela conta sem necessariamente explorar uma vulnerabilidade no software do órgão.
Isso significa que uma organização pode possuir sistemas tecnicamente robustos e ainda assim sofrer incidentes provocados pelo comprometimento de identidades.
É por isso que especialistas frequentemente destacam o chamado fator humano.
Fator humano continua entre os principais riscos
Alan Douglas Bento da Costa, pesquisador ouvido na investigação, destacou justamente que mesmo organizações com importantes camadas de proteção podem ter no comportamento humano um ponto vulnerável.
Phishing explora exatamente essa característica.
Em vez de atacar diretamente uma máquina, o criminoso tenta convencer uma pessoa a entregar o acesso.
Uma mensagem pode simular o departamento de TI, um banco, uma autoridade, uma plataforma conhecida ou um pedido urgente de atualização de senha.
Com ferramentas de inteligência artificial generativa, essas abordagens também podem ganhar textos mais convincentes e personalizados.
Segurança precisa migrar para o modelo “Zero Trust”
O caso reforça uma mudança que já ocorre na indústria de cibersegurança.
Durante décadas, grande parte das organizações trabalhava com uma lógica semelhante a um castelo: quem estava fora precisava ultrapassar a muralha; depois de entrar, encontrava um ambiente relativamente confiável.
Esse modelo se tornou insuficiente.
Arquiteturas modernas seguem cada vez mais princípios de Zero Trust — confiança zero.
A ideia central é que nenhum acesso deve ser considerado automaticamente confiável apenas porque possui usuário e senha corretos.
Cada solicitação precisa ser avaliada levando em conta identidade, dispositivo, contexto e nível de risco.
Comportamentos anormais podem denunciar contas comprometidas
Imagine um servidor público que normalmente acessa determinado sistema de segunda a sexta-feira, durante o horário comercial, de um equipamento institucional localizado em Brasília.
Subitamente, sua conta começa a:
entrar durante a madrugada;
acessar centenas de registros;
consultar dados que nunca havia utilizado;
realizar operações administrativas;
ou conectar-se a partir de dispositivos desconhecidos.
Mesmo que usuário e senha estejam corretos, esse comportamento deveria gerar alertas.
É aí que entram sistemas modernos de Identity Threat Detection and Response (ITDR) e análise comportamental.
Eles procuram justamente identificar quando uma identidade legítima começa a apresentar sinais incompatíveis com sua utilização normal.
Mercado clandestino transforma identidade em produto
O aspecto mais preocupante da investigação talvez seja justamente a profissionalização desse mercado.
Criminosos não precisam necessariamente executar pessoalmente toda a cadeia de ataque.
Uma pessoa pode roubar credenciais.
Outra pode vendê-las.
Uma terceira pode comprar o acesso.
Outra pode utilizar os dados obtidos para executar uma fraude.
Essa especialização cria uma espécie de cadeia econômica clandestina.
O resultado é semelhante ao conceito de Cybercrime-as-a-Service, no qual ferramentas, acessos e infraestrutura criminosa são comercializados como serviços.
O problema não termina trocando uma senha
Quando uma organização descobre que uma credencial foi comprometida, simplesmente alterar a senha pode não ser suficiente.
É necessário investigar o histórico da conta.
O invasor pode já ter acessado informações, criado mecanismos adicionais de persistência ou realizado modificações.
Sessões autenticadas precisam ser revogadas.
Dispositivos associados devem ser analisados.
Permissões precisam ser revisadas.
Logs devem ser preservados para investigação.
E todas as ações realizadas pela conta durante o período suspeito precisam ser verificadas.
Esse processo é parte da chamada resposta a incidentes.
Sistemas governamentais precisam tratar identidade como infraestrutura crítica
A investigação coloca uma questão importante para a administração pública brasileira.
Quanto mais serviços são digitalizados, mais as credenciais utilizadas para acessá-los precisam ser tratadas como ativos críticos.
Uma conta com capacidade de alterar um mandado judicial não pode possuir o mesmo nível de proteção de uma conta utilizada apenas para consultar informações públicas.
Sistemas críticos precisam combinar diferentes mecanismos:
autenticação forte, privilégios mínimos, registros de auditoria, monitoramento comportamental, segmentação, revisão periódica de acessos e resposta rápida a incidentes.
Nenhuma dessas ferramentas isoladamente elimina o risco.
A segurança depende da combinação delas.
Caso mostra uma nova dimensão do cibercrime brasileiro
A investigação sobre o mercado de senhas roubadas mostra como o crime digital está evoluindo.
O objetivo já não é apenas roubar números de cartão de crédito ou aplicar golpes financeiros contra consumidores.
Credenciais comprometidas podem oferecer acesso a infraestruturas institucionais capazes de produzir consequências jurídicas e administrativas reais.
Os 350 acessos fraudulentos identificados pelo Tribunal de Justiça de Goiás e as aproximadamente 140 adulterações encontradas no Banco Nacional de Mandados de Prisão dão uma dimensão concreta do risco.
O episódio do alerta da Defesa Civil demonstra outra possibilidade: contas comprometidas podem permitir que criminosos utilizem sistemas oficiais para atingir milhões de pessoas.
Nesse cenário, a identidade digital de servidores e autoridades passa a ser uma peça crítica da segurança nacional.
A principal lição deixada pelo caso é simples: um sistema pode possuir firewalls, criptografia e diversas tecnologias avançadas de proteção, mas, se um criminoso conseguir entrar utilizando uma identidade legítima, a própria credencial pode se transformar na chave da porta.
