A ONG Derechos Digitales lançou, nesta quinta-feira (12.mar.2026), um relatório sobre o mercado ilegal de compra e venda de dados pessoais latino-americanos no Telegram. Dos 27 espaços ativos localizados entre out.2024 e nov.2025, 10 são de grupos brasileiros que chegam a ter de 690 a mais de 47 mil membros.

Com um único comando e uso até de robôs para agilizar o atendimento, é possível adquirir várias informações sobre uma pessoa: número de documentos, carteira de trabalho, endereço, benefícios sociais, carteira de vacinação, renda e até sobre vínculos familiares ou de vizinhos.

De acordo com a pesquisa, existem administradores humanos nesses grupos que atuam com pseudônimos, mas os bots facilitam o funcionamento como se fosse uma loja 24h. O modelo de negócios é freemium, ou seja, é possível consultar alguns dados de forma gratuita, como nome e CPF. É necessário pagar para ter acesso a mais detalhes, como endereço e vínculos profissionais.

💡
A invasão de dispositivo informático sem autorização expressa do dono é crime no Código Penal brasileiro desde 2012 e prevê reclusão que varia de um a quatro anos, além de pagamento de multa.

A pena pode aumentar de um a dois terços "se houver divulgação, comercialização ou transmissão a terceiro, a qualquer título, dos dados ou informações obtidos". É mais grave se as vítimas forem autoridades dos poderes Executivo, Legislativo e Judiciário bem como da administração pública como um todo.

A Lei Geral de Proteção de Dados também estabelece maior rigor ao tratamento de dados pessoais sensíveis, que são aqueles "sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural".

Esses grupos também fornecem diferentes planos dependendo do tempo de acesso (diário, semanal, mensal, trimestral, etc.) e, em alguns casos, por níveis de funcionalidade relacionados ao tipo de dados consultados. Segundo os autores, os preços variavam de US$ 1 (por uma semana) a US$ 78,80 (por dois anos), sendo que a forma mais recorrente de pagamento é o Pix. Os grupos ainda incluíam anúncios de promoções e táticas de marketing para chamar a atenção.

Ao Núcleo, Rafael Bonifaz, líder do Programa Latino-americano para a Resiliência e Defesa Digital da entidade, apontou que outras redes sociais, como X e TikTok, também funcionam como "porta de entrada" para os grupos no Telegram. "Por exemplo, no X encontramos publicações virais nas quais dados pessoais eram expostos e, ao analisar os comentários um por um, identificamos links de acesso a certos grupos ou palavras-chave a partir das quais se podia encontrá-los", afirma.

Capturas de telas presentes no relatório apontando o uso do comando /cpf a um bot de venda de dados no Telegram

O levantamento sinaliza que existe a possibilidade de os dados vendidos serem decorrentes de bases estruturadas estatais vazadas devido a alguns detalhes de como são enviados ao comprador interessado. Um exemplo é o fornecimento de arquivo que contém um sistema de pontuação financeira, ou seja, que classifica a pessoa de acordo com seu nível de risco de crédito, o que revela que os bots podem estar acessando bancos de dados de créditos institucionais, como SPC ou Serasa, sem o titular saber.

Bonifaz alerta que os acessos a dados pessoais podem não só serem utilizados para fraudes e vigilância indevida, mas também para facilitar extorsão, ameaça e assédio, sendo que as mulheres, as crianças, os adolescentes e a comunidade LGBTQIAPN+ os públicos mais vulneráveis.

"Em alguns dos grupos mapeados, foram identificadas fichas que continham o documento de identidade da pessoa escaneado, o qual, por sua vez, contém fotografia pessoal. Aí foram, inclusive, mapeados casos de compra e venda de documentos oficiais com fotos de crianças e adolescentes. Não se trata de um negócio cujo foco é a compra e venda de fotografias, mas fotografias também podem, de alguma maneira, em alguns grupos, ser compradas", explica.

Apesar de o Brasil dispor de uma Lei Geral de Proteção de Dados, vigente desde 2020, e ter concedido independência à Agência Nacional de Proteção Dados (ANPD) no ano passado, o relatório aponta que o Estado ainda está aquém do contexto de digitalização acelerada e detém "uma escassa cultura de proteção de dados e de cibersegurança".

"É importante que as capacidades da agência sigam sendo fortalecidas, o que envolve, entre outras medidas, assegurar de maneira perene a disponibilidade de recursos humanos e orçamentários que permitam sua devida atuação", alerta o pesquisador.

Para ele, é necessário que o poder público também fortaleça medidas de segurança de informação e amplie a coordenação entre autoridades estatais, como a ANPD, as polícias e os Ministérios Públicos, para darem pronta-resposta em casos de incidentes ou emergências cibernéticas.

"Isso deve envolver a realização de auditorias regulares, o estabelecimento de protocolos obrigatórios de segurança e desenvolvimento de sistemas de monitoramento de vazamentos de bases de dados estatais. Outra medida que pode mitigar a problemática é o estabelecimento de mecanismos mais robustos de responsabilização e cooperação com plataformas digitais, para facilitar a remoção de conteúdos ilícitos e a investigação de redes onde são cometidos atos ilegais como a comercialização de dados pessoais", afirma.

Rafael Bonifaz destaca que é central "o estabelecimento de medidas de governança e diligência às plataformas para prevenir abusos", o que envolve a cobrança por maior transparência por meio de relatórios periódicos sobre remoções de conteúdos, representação no Brasil para responder às autoridades e canais de eficazes de denúncia e resposta rápida.

O Núcleo procurou a assessoria da ANPD, mas não teve retorno até a publicação.

Desde 2021, o Telegram utiliza um bot para solicitações da imprensa. Após a publicação da reportagem, a assessoria informou que a plataforma proíbe distribuição de dados roubados, atua de forma proativa para remover esse tipo de conteúdo e aceita denúncias sobre o assunto.

Leia a nota do Telegram

A distribuição de dados roubados é explicitamente proibida pelos termos de serviço do Telegram e esse tipo de conteúdo é removido sempre que detectado. Moderadores, equipados com ferramentas de IA personalizadas, monitoram proativamente as áreas públicas da plataforma e aceitam denúncias para remover milhões de conteúdos prejudiciais todos os dias, incluindo a distribuição de dados privados. Além de sua própria moderação proativa, o Telegram aceita denúncias de ONGs e usuários por meio de ferramentas de denúncia no aplicativo e e-mails de denúncia públicos.

Estatísticas diárias e mais informações sobre a moderação do Telegram estão disponíveis aqui: Telegram.org/moderation.

Texto Jeniffer Mendonça
Edição Alexandre Orrico

⚠️ Texto atualizado às 13h23 de 13.mar.2026 para incluir resposta do Telegram.