Mara Maravilha revelou nesta semana que registrou um boletim de ocorrência após a suposta exposição de dados pessoais, entre eles seu número de telefone, durante a controvérsia envolvendo fãs de Xuxa. O caso chama atenção para um problema que pode atingir qualquer pessoa: a exposição e o uso indevido de informações pessoais na internet.
Para Célio Vasconcellos, CEO da EONTA Cibersegurança, um número de telefone exposto pode servir como porta de entrada para diferentes tipos de crimes e golpes.
“Números de telefone são dados pessoais que, uma vez expostos, podem ser usados de forma maliciosa para phishing, fraudes, chantagens, falsos sequestros e ameaças. Pessoas comuns e figuras públicas são vítimas frequentes. O problema é que esses números circulam em dezenas ou centenas de bancos de dados, o que torna extremamente difícil rastrear a origem de um vazamento”, explica Vasconcellos.
Um mesmo telefone pode ter sido informado ao longo dos anos para bancos, operadoras, lojas, aplicativos, programas de fidelidade e diversos outros serviços. Dessa forma, localizar o dado circulando na internet não significa, necessariamente, descobrir de onde ele foi retirado.
“Quando o dado aparece na internet, raramente se sabe de onde ele saiu. Muitos incidentes podem estar relacionados a falhas de segurança em empresas e aplicativos, mas o risco não se limita à organização que originalmente coletou a informação”, afirma Vasconcellos.
A identificação da origem de um vazamento fica ainda mais complicada quando diferentes empresas e prestadores participam do tratamento de uma mesma informação.
“Prestadores de serviços, plataformas em nuvem, call centers e ferramentas de marketing também podem processar esses dados. Quanto maior a cadeia de terceiros, maior a necessidade de controlar quem possui acesso à informação e de manter evidências que permitam investigar o que ocorreu”, explica o CEO da EONTA.
Na avaliação de Nílson Vianna, CEO da SmartCyber, essa dispersão faz com que uma investigação técnica seja fundamental. Para descobrir como um dado foi exposto, pode ser necessário analisar diferentes sistemas, ambientes e registros digitais.
“Encontrar um número exposto não significa encontrar a origem do vazamento. Uma investigação precisa avaliar os sistemas envolvidos, registros de acesso, credenciais, possíveis vulnerabilidades e os terceiros que tiveram contato com aquela informação. Sem rastreabilidade e evidências técnicas adequadas, reconstruir o caminho percorrido pelo dado pode se tornar extremamente difícil”, afirma Vianna.
O especialista destaca ainda que medidas como controle de acesso, autenticação, monitoramento e manutenção de registros de eventos são importantes não apenas para evitar incidentes, mas também para permitir uma apuração posterior.
“Segurança não é apenas impedir que alguma coisa aconteça. Quando ocorre um incidente, a organização precisa ter condições de detectar, conter, preservar evidências e entender tecnicamente o que aconteceu. Essas informações também podem ser importantes para o trabalho das autoridades quando houver indícios de crime”, acrescenta.
Depois que um número começa a circular, ele também pode ser associado a outras informações disponíveis em diferentes bases de dados.
“Criminosos cruzam informações de diferentes bases e constroem perfis mais detalhados das vítimas. Isso permite golpes muito mais convincentes, porque uma mensagem fraudulenta pode conter informações verdadeiras e parecer legítima”, alerta Vasconcellos.
Os aplicativos de mensagens também passaram a desenvolver alternativas para diminuir a exposição do número de telefone, que tradicionalmente funciona como principal identificador dos usuários.
Desde o fim de junho de 2026, o WhatsApp começou a permitir a reserva de nomes de usuário, preparando a implementação gradual de um recurso que permitirá iniciar novas conversas sem necessariamente revelar o número de telefone.
Telegram e Signal já contam com mecanismos semelhantes. As ferramentas, porém, não eliminam completamente os riscos. A proposta é diminuir a exposição desnecessária do número em grupos, comunidades e contatos profissionais.
Para os especialistas, entretanto, os recursos de privacidade disponíveis aos usuários representam apenas uma parte da proteção. As empresas responsáveis pela coleta e pelo processamento dessas informações também precisam adotar medidas de segurança compatíveis com os riscos envolvidos.
No Brasil, a proteção dos dados pessoais é regulamentada principalmente pela Lei Geral de Proteção de Dados Pessoais (LGPD, Lei nº 13.709/2018). Quando associado a uma pessoa identificada ou identificável, o número de telefone é considerado dado pessoal e seu tratamento deve respeitar requisitos como finalidade, necessidade, base legal e segurança.
Quando ocorre um incidente capaz de gerar risco ou dano relevante aos titulares, o controlador deve comunicar a Autoridade Nacional de Proteção de Dados (ANPD) e as pessoas afetadas, seguindo os procedimentos e prazos previstos na regulamentação. A Resolução CD/ANPD nº 15/2024 estabelece, como regra, prazo de três dias úteis para essa comunicação.
A LGPD também prevê sanções administrativas, que podem incluir multa de até 2% do faturamento da empresa, limitada a R$ 50 milhões por infração.
O Marco Civil da Internet também estabelece princípios e garantias relacionados à privacidade nas comunicações digitais. Além disso, decisões recentes do Superior Tribunal de Justiça vêm analisando situações envolvendo a disponibilização indevida de dados cadastrais e a possibilidade de indenização, considerando fatores como o contexto, a natureza das informações e os efeitos do compartilhamento.
Para Vasconcellos, o episódio envolvendo Mara Maravilha mostra que a responsabilidade pela proteção de dados não deve ficar apenas nas mãos dos usuários.
“Proteger o número de telefone deixou de ser apenas uma precaução individual. Exige responsabilidade das organizações que coletam e compartilham o dado, controles eficazes sobre terceiros e capacidade de preservar evidências, investigar e demonstrar tecnicamente o que ocorreu quando a proteção falha”, afirma.
Vianna também ressalta a importância da atuação conjunta quando existe suspeita de crime envolvendo dados pessoais.
“Quando há suspeita de crime, empresas, equipes de segurança, especialistas e delegacias especializadas precisam trabalhar de forma coordenada. Preservar as evidências desde o início aumenta a capacidade de compreender o incidente e fornece elementos técnicos para a investigação pelas autoridades”, conclui.