Golpes que utilizam dados pessoais já impactou milhões de vítimas no Brasil. O número corresponde a 20% dos usuários de internet com 16 anos ou mais no país, segundo uma pesquisa divulgada pelo Centro Regional de Estudos para o Desenvolvimento da Sociedade da Informação (Cetic.br) em agosto de 2026.

O levantamento também revelou que 32% dos internautas, o equivalente a cerca de 45 milhões de pessoas, enfrentaram pelo menos uma tentativa de golpe envolvendo suas informações pessoais. Os dados fazem parte da terceira edição da pesquisa "Privacidade e proteção de dados pessoais: perspectivas de indivíduos, empresas e organizações públicas no Brasil", realizada pelo Cetic.br, departamento do Núcleo de Informação e Coordenação do Ponto BR (NIC.br), com apoio da Agência Nacional de Proteção de Dados (ANPD).

A dimensão dos resultados aponta para uma mudança no cenário das fraudes digitais. Informações como nome, número de telefone, endereço, histórico de compras e dados relacionados a serviços contratados podem tornar uma abordagem fraudulenta mais convincente. Segundo o estudo, o problema, portanto, não se limita à invasão de dispositivos. Ele também envolve informações obtidas por meio de vazamentos, bases de dados expostas e interações digitais cotidianas.

Os aplicativos de mensagens foram citados por 84% das pessoas que relataram tentativas de fraude com dados pessoais. As ligações telefônicas aparecem em seguida, mencionadas por 79% dos entrevistados. Sites ou aplicativos falsos e mensagens SMS foram indicados por 71%, enquanto e-mails e redes sociais também figuraram entre os canais recorrentes.

A diversidade de meios mostra que as fraudes atuais combinam recursos digitais com técnicas tradicionais de engenharia social. Em vez de depender exclusivamente de falhas técnicas, os criminosos procuram convencer as vítimas a fornecer códigos de verificação, acessar páginas falsas, instalar programas ou realizar transferências.

O acesso a algumas informações verdadeiras pode dar credibilidade à abordagem. Uma mensagem pode apresentar o nome correto do destinatário, mencionar uma compra recente ou imitar a comunicação de uma empresa conhecida. Esses elementos não comprovam que o contato seja legítimo, mas podem reduzir a percepção inicial de risco.

Inteligência artificial acrescenta uma nova preocupação

A expansão das ferramentas de inteligência artificial generativa trouxe outra dimensão ao debate sobre privacidade. Entre os usuários dessas plataformas, 66% afirmaram estar preocupados ou muito preocupados com a forma como as empresas responsáveis pelos serviços utilizam os dados pessoais.

As interações com sistemas de inteligência artificial podem envolver informações profissionais, documentos, imagens, preferências pessoais e outros conteúdos que normalmente não seriam compartilhados de maneira pública. A inserção de informações confidenciais em uma plataforma digital pode aumentar a quantidade de dados armazenados fora do controle direto do indivíduo.

A questão também alcança as organizações responsáveis pela coleta e pelo tratamento dessas informações. Segundo o Cetic.br, 69% das empresas brasileiras declararam armazenar dados pessoais de clientes ou usuários. Entretanto, apenas 16% das empresas que mantêm esse tipo de informação haviam nomeado formalmente um encarregado pelo tratamento de dados pessoais.

Os resultados reforçam que a responsabilidade pela proteção da privacidade não pode recair exclusivamente sobre o indivíduo. Empresas e órgãos públicos também precisam estabelecer medidas adequadas de governança, transparência, controle de acesso e resposta a incidentes, em conformidade com a Lei Geral de Proteção de Dados Pessoais (LGPD).

Proteção exige diferentes camadas de segurança

As orientações publicadas pelo CERT.br recomendam o uso de senhas longas e exclusivas para cada serviço, a ativação da verificação em duas etapas e a manutenção de sistemas operacionais e aplicativos atualizados. A instituição também orienta que os endereços de páginas sensíveis sejam digitados diretamente no navegador, em vez de acessados por links recebidos em mensagens.

A confirmação de solicitações incomuns por meio de um segundo canal de comunicação também pode reduzir a exposição a golpes de engenharia social. Uma mensagem que solicite pagamento, código de autenticação ou atualização cadastral pode ser verificada no aplicativo oficial da instituição ou em canais de contato confirmados de forma independente.

Quando redes compartilhadas estão envolvidas, outra medida possível é o uso de uma rede privada virtual, ou VPN. Um provedor de VPN como a PureVPN encaminha o tráfego entre o dispositivo e seu servidor por meio de um túnel criptografado, reduzindo a visibilidade dessas informações para outros participantes e para o operador da rede local.

Uma VPN não identifica automaticamente páginas fraudulentas, não impede que códigos de autenticação sejam fornecidos voluntariamente e não substitui programas antivírus, atualizações de segurança ou a verificação em duas etapas. Sua principal função é proteger a conexão, além de reduzir a exposição do tráfego de internet e do endereço IP público do dispositivo.

O mesmo princípio de proteção em camadas se aplica aos ambientes corporativos. As permissões de acesso devem refletir as responsabilidades de cada funcionário, enquanto contas inativas precisam ser removidas quando deixam de ser necessárias. Procedimentos de resposta a incidentes também são essenciais para que credenciais expostas, acessos não autorizados ou vazamentos de dados sejam tratados sem atrasos evitáveis.

Privacidade passa a fazer parte da rotina digital

A proteção também precisa considerar a variedade de dispositivos usados no cotidiano digital. Smartphones, notebooks e tablets podem se conectar a diferentes redes domésticas, corporativas e públicas ao longo do mesmo dia.

Serviços como a PureVPN oferecem aplicativos de VPN para diferentes sistemas operacionais, embora a compatibilidade com dispositivos seja apenas um dos critérios a serem considerados na avaliação de um provedor. A política de privacidade, as práticas de coleta de dados, os protocolos disponíveis e o nível de transparência também devem ser analisados.