Vazamento de 251 milhões de CPFs: o que o caso MORGUE revela sobre indenização por dados vazados no Brasil

Uma base de dados com 251.720.444 registros de CPFs apareceu à venda em fóruns de cibercrime em abril de 2026, sob o nome de código "MORGUE". O vendedor, que usa o pseudônimo "Buddha", pedia o equivalente a apenas 500 dólares em bitcoin por um arquivo de 25,1 GB contendo nome completo, filiação, status de óbito, data de morte, raça e cidade de nascimento de brasileiros — vivos e mortos.

A denúncia, feita pela plataforma de inteligência de ameaças Vecert Threat Intelligence, aponta que os dados teriam sido extraídos de sistemas ligados ao Gov.br em 15 de março de 2025 e só vieram à tona mais de um ano depois.

O caso reacende, de forma direta, uma pergunta que qualquer pessoa exposta em um vazamento faz: isso dá direito a indenização — e, se sim, quanto vale?

O caso MORGUE: o maior suposto vazamento de CPFs da história do Brasil

Segundo a Vecert, o volume da base MORGUE supera até o já conhecido megavazamento de 223 milhões de CPFs descoberto em 2021 — até então tratado como o maior incidente de dados pessoais já registrado no país.

A diferença central é a natureza dos dados: além de identificadores básicos, o pacote incluiria informações sobre raça e status de óbito, que a Lei Geral de Proteção de Dados (LGPD) classifica como dado pessoal sensível no artigo 5º, inciso II — categoria que recebe tratamento jurídico mais rígido justamente por expor o titular a discriminação, constrangimento e riscos maiores.

O episódio ganhou um contorno incomum: o Ministério da Gestão e da Inovação em Serviços Públicos (MGI), responsável pelo Gov.br, negou publicamente qualquer invasão ou vazamento na plataforma, afirmando não ter "registro de invasões ou vazamentos no site".

A empresa de segurança, por outro lado, mantém que a denúncia é consistente com os padrões de vazamentos anteriores e que a origem exata dos dados ainda está sendo apurada.

Esse impasse — vendedor anônimo afirma que vazou, órgão público nega — é comum em episódios desse tipo e, como será visto adiante, tem peso jurídico real na hora de discutir responsabilidade e indenização.

Um padrão que se repete: o vazamento paralelo do INSS

Enquanto a repercussão do caso MORGUE ainda seguia em aberto, outro episódio veio reforçar a percepção de fragilidade na proteção de dados de sistemas públicos brasileiros.

Em julgamento de 16 de setembro de 2026, o Tribunal de Contas da União (TCU) determinou que o INSS reforce a segurança de seus sistemas depois de uma falha que expôs dados de cerca de 1,6 a 2 milhões de segurados — 97% deles pessoas já falecidas, mas também aproximadamente 50 mil cidadãos vivos, cujos nomes, CPFs, datas de nascimento e, em alguns casos, histórico de vínculos empregatícios ficavam visíveis quando terceiros tentavam solicitar benefícios em nome deles.

O TCU constatou, inclusive, que sete presidentes diferentes passaram pelo INSS entre 2019 e 2026, prejudicando a continuidade das políticas de segurança da informação, e determinou a desativação de 2.163 credenciais de acesso ativas indevidamente.

A leitura que fica é simples: seja o MORGUE, seja o caso do INSS, o denominador comum é o mesmo — sistemas públicos brasileiros concentram volumes gigantescos de dados sensíveis de praticamente toda a população, e as falhas de segurança nesses sistemas afetam potencialmente qualquer cidadão, independentemente de culpa individual.

Sabia?

• O nome "MORGUE" faz referência direta ao fato de a base conter dados de pessoas falecidas — inclusive data e status de óbito, informação que normalmente é usada para prevenir fraudes, como a abertura de contas ou solicitação de benefícios em nome de quem já morreu.

• Dados sobre raça, quando tratados sem consentimento específico, são considerados sensíveis pela LGPD e recebem régua de proteção mais rigorosa que dados cadastrais comuns, como telefone ou endereço.

• O preço simbólico pedido pela base (cerca de US$ 500) mostra como a informação massificada perde valor unitário para o criminoso — mas o dano potencial para cada pessoa exposta continua concreto: fraude de identidade, abertura de crédito indevida, golpes de engenharia social usando dados reais.

Marcar demonstração de 30 minutos

Casos como o do MORGUE não são um evento isolado — eles são a ponta mais visível de um fenômeno muito maior que vem se consolidando no Brasil desde a entrada em vigor da LGPD: o crescimento acelerado do número de vazamentos de dados, tanto em empresas privadas quanto em órgãos públicos, e a dificuldade da fiscalização em acompanhar esse ritmo.

O boom de vazamentos de dados no Brasil pós-LGPD

A Lei Geral de Proteção de Dados completou sete anos de vigência em 2026, e análises recentes do setor de privacidade e segurança digital apontam um paradoxo: em vez de estabilizar, o número de incidentes de vazamento de dados no país segue em trajetória de alta, mesmo com a legislação em pleno funcionamento.

Isso acontece porque a maturidade das empresas e órgãos públicos em cibersegurança avança em ritmo mais lento do que a sofisticação dos ataques — e porque grande parte das instituições brasileiras, especialmente no setor público, ainda trata a proteção de dados como um item de conformidade burocrática, e não como prioridade estrutural de infraestrutura.

Por que os órgãos públicos concentram os maiores casos

Não é coincidência que os episódios mais graves — o vazamento de 223 milhões de CPFs em 2021, o suposto MORGUE de 2026 e o vazamento do INSS revelado no mesmo ano — tenham como pano de fundo sistemas públicos ou dados que passam por eles.

Bases estatais concentram o cadastro mais completo e mais sensível de cada cidadão brasileiro: CPF, filiação, histórico previdenciário, dados de saúde, óbito. Quando um desses sistemas falha, o efeito é multiplicado pela escala: não vazam os dados de uma clientela específica, vazam potencialmente os dados de toda a população.

Soma-se a isso um problema estrutural já identificado pelo próprio TCU no caso do INSS: rotatividade de gestão, falta de continuidade em políticas de segurança e dependência de terceiros (como a Dataprev) para operar sistemas críticos.

O resultado é um ambiente de vulnerabilidades acumuladas, em que uma falha descoberta anos atrás só é corrigida quando um órgão de controle ou uma denúncia externa força a ação.

ANPD: fiscalização em construção, sanções ainda tímidas

Um levantamento da Confidata sobre o "Mapa de Sanções da ANPD" mostra um retrato revelador: até 2026, a autoridade havia aplicado apenas uma única multa financeira efetiva no Brasil inteiro — R$ 14.400 contra uma pequena empresa de telefonia (Telekall Infoservice), por vender listas de contatos de WhatsApp sem base legal.

Os demais processos abertos pela ANPD, incluindo contra o próprio INSS, a Secretaria de Estado da Saúde de Santa Catarina, o IAMSPE e o Ministério da Saúde, resultaram apenas em advertências e determinações corretivas — sem multa em dinheiro, já que a LGPD não permite sancionar financeiramente entes públicos.

Esse cenário ajuda a explicar por que casos como o MORGUE tendem a gerar mais repercussão midiática do que consequência regulatória imediata: mesmo quando a autoria e a origem de um vazamento são identificadas, o caminho até uma sanção efetiva da ANPD é lento, e o valor da eventual multa costuma ser proporcionalmente pequeno diante do tamanho do dano.

É justamente essa lacuna que empurra a resposta jurídica para outro terreno: a ação individual de indenização por danos morais movida diretamente pela pessoa afetada contra a empresa ou órgão responsável pelo vazamento.

Se a fiscalização administrativa ainda engatinha, a pergunta prática de quem teve o CPF exposto em episódios como o MORGUE muda de eixo: não é mais "a ANPD vai punir quem vazou?", mas sim "eu, pessoa física atingida, tenho direito a alguma indenização por isso — e como se calcula esse valor?".

Quanto vale uma indenização por vazamento de dados: o que diz o STJ

A resposta do Judiciário brasileiro para essa pergunta vem se firmando nos últimos anos, com decisões importantes do Superior Tribunal de Justiça (STJ) que já formam uma linha de raciocínio relativamente clara — embora ainda com nuances entre dados sensíveis e dados comuns.

Em decisão de setembro de 2025, a Terceira Turma do STJ, sob relatoria da ministra Nancy Andrighi, decidiu que a divulgação indevida de dados pessoais em banco de dados gera dano moral presumido: o titular dos dados não precisa comprovar prejuízo financeiro efetivo, bastando demonstrar que houve a exposição indevida, diante da "forte sensação de insegurança" que esse tipo de episódio provoca.

Essa tese foi reforçada em setembro de 2026, quando o STJ confirmou a condenação de uma seguradora de vida a pagar R$ 15 mil de indenização a um cliente cujos dados de saúde, CPF, endereço, patrimônio e informações bancárias vazaram — a Corte fixou que, em relações de consumo, a responsabilidade do fornecedor pela proteção de dados é objetiva, ou seja, independe de prova de culpa da empresa.

Há, no entanto, um contraponto que qualquer pessoa afetada precisa conhecer: em março de 2023, a Segunda Turma do STJ, em caso envolvendo a Eletropaulo, decidiu que o vazamento de dados comuns (como nome, data de nascimento e endereço, sem envolver informação sensível) não gera dano moral automático — é preciso comprovar prejuízo concreto, como uma tentativa de fraude que de fato ocorreu.

A diferença entre as duas linhas de entendimento está exatamente na natureza do dado exposto: quanto mais sensível o dado (saúde, raça, dados financeiros, biometria, orientação sexual), maior a chance de a indenização ser reconhecida de forma presumida, sem necessidade de provar o dano específico.

É por isso que casos como o do MORGUE — que envolveriam dados de raça e de óbito, ambos sensíveis — tendem a ter respaldo jurisprudencial mais forte do que um vazamento simples de nome e telefone.

Prazos: prescrição e tempo de tramitação

Do ponto de vista prático, quem quer buscar reparação por um vazamento de dados precisa observar o prazo prescricional de três anos para ações de reparação civil, contado normalmente da data em que a pessoa toma conhecimento do vazamento e do dano — e não necessariamente da data em que o vazamento ocorreu, já que muitos incidentes (como o próprio MORGUE, extraído em março de 2025 mas só divulgado em abril de 2026) só vêm a público bem depois do fato.

Em termos de tempo de tramitação, ações individuais de indenização por vazamento de dados costumam ser processadas nos Juizados Especiais Cíveis quando o valor pedido está dentro do teto de alçada, o que tende a acelerar o desfecho comparado a uma ação na Justiça comum — mas a variação depende muito do volume de processos de cada comarca e da eventual necessidade de perícia técnica para comprovar a origem e a extensão do vazamento.

É justamente nesse ponto — estimar se vale a pena entrar com a ação, calcular o valor provável da indenização e organizar a linha do tempo do caso — que entra a necessidade de uma ferramenta que traduza jurisprudência em número.

Ferramenta sugerida: Calculadora Jurídica da Trust Track

Para quem quer ter uma primeira noção de quanto pode valer uma ação de indenização por dano moral em um caso de vazamento de dados — considerando fatores como sensibilidade do dado exposto, existência de prejuízo comprovado e precedentes semelhantes —, a Calculadora Jurídica da Trust Track ajuda a estimar faixas de valores com base em critérios usados pelos próprios tribunais, servindo como ponto de partida antes de conversar com um advogado sobre o caso concreto.

Marcar demonstração de 30 minutos

Estimar o valor da indenização é só metade do caminho. A outra metade — que muitas vezes decide se o processo é ganho ou perdido — é conseguir provar, de forma técnica e inatacável, que os seus dados específicos estavam naquela base vazada e que isso gerou consequências reais.

É aí que a discussão sai do campo teórico e entra no que a pessoa comum, afetada por um vazamento como o do MORGUE, pode fazer na prática — e no que a experiência internacional já ensina sobre o assunto.

O que fazer se seus dados vazaram (e como outros países tratam o problema)

Diante de um vazamento em massa como o MORGUE, a reação mais comum das pessoas é a sensação de impotência: afinal, o que um cidadão sozinho pode fazer diante de uma base com 251 milhões de registros? Na prática, existem passos concretos que fazem diferença tanto na proteção imediata quanto em uma eventual ação judicial futura.

• Verificar se o próprio CPF consta na base vazada, usando ferramentas de checagem oferecidas por empresas de segurança digital e birôs de crédito, que monitoram a dark web em busca de dados pessoais expostos.

• Ativar alertas de proteção ao crédito (como bloqueio preventivo de CPF em birôs de crédito), reduzindo o risco de abertura de contas, empréstimos ou compras parceladas em nome da vítima.

• Registrar na Trust Track, com hash de integridade e carimbo de tempo, os e-mails, notificações e qualquer comunicação recebida da empresa ou órgão envolvido (print solto é fácil de contestar em juízo) — inclusive a negativa do governo sobre o caso MORGUE, que pode ser relevante como prova em uma eventual disputa judicial sobre a autoria e a existência do vazamento.

• Registrar boletim de ocorrência caso haja indício de uso indevido dos dados, como tentativas de fraude, abertura de linhas de crédito ou contato de golpistas com informações que só poderiam vir daquela base vazada.

Como a Europa trata casos parecidos

A comparação com o modelo europeu ajuda a entender o tamanho do desafio brasileiro. O Regulamento Geral de Proteção de Dados (GDPR), em vigor na União Europeia, prevê multas administrativas que podem chegar a 4% do faturamento global da empresa infratora ou 20 milhões de euros, o que for maior — um teto muito mais alto do que o brasileiro, em que a LGPD limita a multa a 2% do faturamento do grupo econômico no Brasil, até o teto de R$ 50 milhões por infração.

Além do valor mais alto, a fiscalização europeia é reconhecidamente mais atuante: autoridades de proteção de dados de países como Irlanda, França e Alemanha já aplicaram, ao longo dos últimos anos, multas bilionárias contra big techs por falhas de proteção de dados, enquanto a ANPD brasileira, como visto, ainda soma uma única multa financeira efetiva desde sua criação.

Essa diferença de rigor tem um efeito prático direto sobre o cidadão comum: em mercados com fiscalização mais forte, as empresas investem mais em segurança preventivamente, porque o custo de falhar é alto e certo.

No Brasil, enquanto a fiscalização administrativa não amadurece no mesmo ritmo, a via judicial individual — a ação de indenização movida pela própria pessoa afetada — segue sendo o principal instrumento de responsabilização efetiva, o que reforça a importância de reunir prova sólida desde o primeiro sinal de vazamento.

É exatamente nesse ponto que a atuação técnica faz diferença: preservar, com hash criptográfico e carimbo de tempo, a evidência de que determinados dados pessoais estavam expostos em uma base vazada — e de que houve uso indevido posterior, como uma tentativa de fraude ou contato de golpista citando informações da base — é o tipo de prova digital que dá consistência técnica a uma ação judicial, evitando que ela seja descartada por falta de comprovação, exatamente a barreira que o STJ impôs em casos de dados não sensíveis.

Para quem quer entender melhor como transformar essa preservação de prova em uma vantagem concreta, vale conhecer os benefícios de fazer parte da comunidade Trust Track.

Checklist prático para quem foi afetado por um vazamento de dados

• Verifique se seu CPF aparece em bases de vazamento conhecidas usando ferramentas de checagem confiáveis.

• Ative o bloqueio preventivo de CPF nos birôs de crédito.

• Registre na Trust Track, com data e hora certificadas, qualquer prova de exposição ou uso indevido dos seus dados.

• Registre boletim de ocorrência em caso de fraude ou tentativa de golpe usando dados vazados.

• Avalie, com auxílio de um advogado, se o dado exposto é sensível (o que fortalece o pedido de dano moral presumido) ou comum (o que exige prova de prejuízo efetivo).

• Use a Calculadora Jurídica da Trust Track para ter uma primeira estimativa do valor da indenização antes de decidir se vale a pena judicializar.

• Fique atento ao prazo de três anos para buscar reparação civil, contado do conhecimento do dano.

Quando um gestor de banco de dados divulga indevidamente informações a terceiros, sem autorização do titular, e desse ato exsurge dano, ainda que a título de mero aborrecimento, tal dano é presumido, decorrente da forte sensação de insegurança e de exposição indevida a riscos causada pelo ato ilícito. — entendimento da Terceira Turma do Superior Tribunal de Justiça sobre vazamento de dados pessoais

Se o governo nega o vazamento, dá para processar mesmo assim?

Sim. O fato de o Ministério da Gestão e da Inovação em Serviços Públicos ter negado publicamente a existência do vazamento MORGUE não impede, por si só, que uma pessoa que encontre seus próprios dados na base vazada busque reparação judicial. A negativa oficial é apenas um elemento a mais na disputa — cabe à Justiça, com apoio de perícia técnica e prova documental (como a comprovação de que aquele CPF específico constava na base oferecida à venda), decidir sobre a existência do vazamento e a responsabilidade pela falha, independentemente da posição institucional divulgada pelo órgão público.

Perguntas frequentes sobre indenização por vazamento de dados

Qual o valor médio de indenização por vazamento de dados no Brasil?

Não existe uma tabela fixa, mas decisões recentes do STJ e de tribunais estaduais têm fixado valores que variam, em geral, entre R$ 5 mil e R$ 15 mil por pessoa em casos de vazamento de dados comuns ou moderadamente sensíveis, podendo ser maiores quando envolvem dados de saúde, financeiros ou uso comprovado para fraude.

O valor exato depende da extensão do dano, da sensibilidade do dado exposto e do histórico da empresa ou órgão responsável.

Preciso provar que sofri prejuízo financeiro para ter direito à indenização?

Depende do tipo de dado. Segundo o STJ, quando o dado vazado é sensível (saúde, raça, dados financeiros, biometria, entre outros previstos na LGPD), o dano moral é presumido e não exige prova de prejuízo financeiro efetivo.

Já quando o dado é considerado comum (como nome, telefone ou endereço, isoladamente), a jurisprudência mais recente da Segunda Turma do STJ exige a comprovação de um prejuízo concreto, como uma tentativa de fraude que de fato ocorreu.

Quanto tempo tenho para entrar com uma ação por vazamento de dados?

O prazo prescricional para ações de reparação civil por vazamento de dados é de três anos, contado, em regra, a partir do momento em que a pessoa toma conhecimento do vazamento e do dano causado — e não necessariamente da data em que o vazamento efetivamente ocorreu, já que muitos incidentes só vêm a público bem depois do fato.

Próximo passo: transforme a exposição em prova

Se você foi afetado por um vazamento como o do caso MORGUE ou qualquer outro incidente de exposição de dados pessoais, o primeiro passo é entender, com clareza técnica, o que pode ser provado e o que já está garantido por lei.

Marcar demonstração de 30 minutos com a equipe da Trust Track é a forma mais rápida de ver, na prática, como transformar a exposição dos seus dados em prova sólida para uma eventual ação judicial.

Quer ter uma primeira estimativa de quanto pode valer sua indenização antes mesmo de conversar com um advogado? Use gratuitamente a Calculadora Jurídica da Trust Track e descubra a faixa de valores compatível com o seu caso.