Para: qualquer pessoa que tenha recebido, ou possa vir a receber, um aviso de vazamento de dados de um órgão governamental nacional ou local, e suas famílias. Também para quem administra sistemas governamentais ou trabalha em empresas que prestam serviços ao governo. Este artigo compara quatro casos com base nos avisos, FAQs e comunicados oficiais dos próprios órgãos, além de reportagens que citam autoridades. Não trata de técnicas de ataque.
Primeiro: se um órgão governamental enviar um aviso de vazamento
Se você pesquisou sobre um desses incidentes, provavelmente quer saber se foi afetado e o que fazer. Estes passos se baseiam no que os próprios órgãos informam às pessoas.
Não use os números ou links do aviso; confira o site oficial do órgão
A DGFiP da França afirma em seu FAQ que o aviso “não contém link direto para seu espaço tributário e não pede informações confidenciais”. A CSDD da Letônia pediu que as pessoas verificassem informações em seu portal oficial, e.csdd.lv, e criou uma seção específica sobre o incidente em seu site.
Em outras palavras, órgãos genuínos estão deixando de depender de que você aja por meio de links em avisos. Confira por um site oficial que você digite você mesmo, ou por um telefone principal que você procure.
Descubra quais itens vazaram e bloqueie o uso indevido de cada número
O que vazou determina o que fazer. Se o seu número de Seguridade Social estiver envolvido, faça um bloqueio de crédito na Equifax, na Experian e na TransUnion (gratuito, e dura até você removê-lo, segundo a Federal Trade Commission) e obtenha um IRS IP PIN, um número de seis dígitos que impede que alguém envie uma declaração de imposto com seu SSN e que muda a cada ano.
No caso francês, em que identificadores fiscais e dados de renda foram envolvidos, a DGFiP recomenda verificar no seu espaço do impots.gouv.fr o registro de contas bancárias em seu nome (FICOBA) para qualquer conta que você não tenha aberto.
Reforce o login das contas de impostos e benefícios
A DGFiP afirma que as senhas do impots.gouv.fr não foram roubadas neste incidente. Seu espaço pessoal já usa verificação em duas etapas que envia por e-mail um código de seis dígitos após a senha, e seu FAQ diz que, se chegar um código que você não solicitou, deve-se trocar a senha rapidamente.
O ponto prático: quem controla a conta de e-mail que recebe o código pode acessar sua conta fiscal. Dê a essa caixa de correio uma senha forte e a autenticação em dois fatores (veja O que é a autenticação em dois fatores?).
Desligue com quem se apresentar como o órgão e ligue de volta por conta própria
A FTC diz que “agências governamentais nunca vão ligar, enviar e-mail, mensagem de texto ou mensagem em redes sociais para pedir dinheiro ou informações pessoais”, e alerta que o identificador de chamadas pode ser falsificado. A DGFiP reafirma que a Receita nunca pede informações confidenciais por e-mail, mensagem de texto ou telefone, e a CSDD pediu que as pessoas tivessem cuidado especial com e-mails e mensagens que pareçam vir da CSDD.
Quem liga sabendo seu endereço, sua renda, sua placa ou seu cargo militar não provou nada (veja O que é phishing?).
Use seu direito de acesso para descobrir o que vazou
Se nenhum aviso chegar, ou se ele for vago, você tem direito de pedir seus próprios dados. Na UE, há o Artigo 15 do GDPR (que a CNIL da França diz que se aplica à administração pública, é gratuito e exige resposta em até um mês); nos EUA, o Privacy Act de 1974; no Japão, o Artigo 76 da Lei de Proteção de Informações Pessoais. A CSDD afirmou que sua seção sobre o incidente explica o procedimento para os clientes obterem informações sobre os dados afetados.
Sinais de um contato genuíno do órgão (segundo as declarações dos próprios órgãos)
- Nenhum link direto para sua conta no aviso (DGFiP)
- Orienta a verificar no site ou aplicativo oficial (CSDD, DGFiP)
- Nunca pede senhas, códigos de verificação ou números de cartão
- As mesmas informações aparecem em um aviso ou FAQ no site oficial
Sinais de golpe
- Uma ligação ou mensagem pedindo para você “confirmar” um número, código ou senha
- Cita seu endereço ou sua renda para parecer confiável
- Pede pagamento, cartões-presente ou criptomoedas
- Urgência ou ameaças: “hoje”, “ou você será preso”
Onde verificar, por país (acesse você mesmo)
EUA: bloqueios de crédito e IP PINs pela FTC (consumer.ftc.gov) e pelo IRS (irs.gov). Denuncie golpes em ReportFraud.ftc.gov.
França: o aviso e o FAQ no impots.gouv.fr; o FAQ da DGFiP indica o 0809 401 401 para dúvidas. Para ajuda com fraudes, 17Cyber.gouv.fr; para denunciar, cybermalveillance.gouv.fr.
Letônia: e.csdd.lv e a seção sobre o incidente no site da CSDD.
Illinois: o IDHS informa que os avisos individuais incluem números gratuitos para dúvidas.
Os quatro casos de 2026 em resumo
Com base nos avisos, FAQs e comunicados oficiais dos órgãos, e em reportagens que citam autoridades. Os números são apenas os informados pelos órgãos ou autoridades.
| Órgão (país) | Anunciado / notificado | O que vazou (segundo o órgão) | Pessoas (órgão / autoridades) | Forma de acesso (segundo o órgão) |
|---|---|---|---|---|
| Defense Manpower Data Center (DMDC) (DoD dos EUA) | Aviso datado de 18 de setembro de 2026 (segundo reportagens) | Dados pessoais não criptografados, incluindo SSNs | 2,76 milhões de vivos e 294.000 falecidos (um funcionário do Pentágono) | Uma vulnerabilidade em um sistema de compartilhamento de arquivos |
| Illinois Department of Human Services (IDHS) (EUA) | 2 de janeiro de 2026 | Dados de clientes em mapas internos de planejamento | Aprox. 32.401 e aprox. 672.616, em dois grupos | Configurações de privacidade incorretas em um site de mapas |
| Road Traffic Safety Directorate (CSDD) (Letônia) | 13 de agosto de 2026 (números em 18 de agosto) | Dados históricos de recibos de pagamento desde 2008 | Cerca de 1,2 milhão (CSDD) | Uma vulnerabilidade em uma aplicação web mantida pela CSDD (comissão do Ministério dos Transportes) |
| Directorate General of Public Finances (DGFiP) (França) | 14 de agosto de 2026 | Identificadores fiscais, detalhes relacionados à renda e outros | Um total de 678.000 pessoas e empresas (comunicado oficial do governo) | Credenciais de um agente e de um terceiro autorizado usadas por impersonação |
1. Uma configuração incorreta
IDHS: mapas internos deixados públicos em um site de mapas externo. Quem visualizou não pode ser identificado
2. Um sistema vulnerável
DMDC: um sistema de compartilhamento de arquivos / CSDD: uma aplicação web que mantinha
3. Credenciais usadas por impersonação
DGFiP: identificadores de um agente e de um terceiro autorizado. O acesso foi cortado; o roubo foi confirmado depois
↓ Qualquer que seja a forma de acesso, o que chega aos cidadãos é
Contatos de “órgão” que conhecem seu endereço, seus números, sua renda, seu carro ou seu cargo militar
E, por ser o Estado, você não pode simplesmente deixar de usar o serviço
Quatro ferramentas que os cidadãos têm
Verificar sites oficiais / proteger contas de impostos e benefícios (IP PIN, bloqueio de crédito, o e-mail que recebe seu código) / ligar de volta por conta própria / direito de acesso
2 de janeiro de 2026
O IDHS de Illinois divulga um comunicado à imprensa sobre mapas internos que estavam visíveis publicamente (diz que descobriu isso em 22 de setembro de 2025).16 de julho
O DMDC descobre uma vulnerabilidade em um sistema de compartilhamento de arquivos (segundo o aviso, conforme noticiado).12–13 de agosto
Um agente malicioso afirma ter obtido acesso ilegítimo aos sistemas da DGFiP; a DGFiP diz que foi nesse momento que o roubo de dados foi confirmado.13 de agosto
A CSDD anuncia que foi alvo de um ataque cibernético.14 de agosto
O ministério da economia e finanças da França divulga um comunicado sobre a DGFiP (678.000).18 de agosto
A CSDD afirma que os dados pessoais de 1,2 milhão de pessoas foram obtidos.18 de setembro
O DMDC envia avisos às pessoas afetadas (segundo reportagens). No mesmo dia, o Ministério dos Transportes da Letônia publica sua avaliação do incidente da CSDD.Final de setembro
Um funcionário do Pentágono informa a veículos de imprensa o número de pessoas afetadas pelo vazamento do DMDC.
O que cada órgão informou
Com base nos avisos, FAQs e comunicados oficiais dos órgãos, e em reportagens que citam autoridades. Não são citados os terceirizados e fornecedores contratados pelos órgãos, nem as pessoas envolvidas.
- O que (o aviso, conforme noticiado)
- Em 16 de julho de 2026, o DMDC descobriu uma vulnerabilidade de segurança em um sistema de compartilhamento de arquivos. Afirma que um pequeno número de usuários não autorizados acessou arquivos em um servidor com informações pessoais não criptografadas entre outubro de 2025 e 16 de julho de 2026
- Dados
- Números de Seguridade Social mais pelo menos outro item (nome, data de nascimento, informações de contato, sexo, raça ou informações de pessoal militar, como especialidade de função). Varia de pessoa para pessoa
- Pessoas
- Um funcionário do Pentágono informou a veículos de imprensa que 2,76 milhões de pessoas vivas e 294.000 falecidas foram afetadas
- Resposta
- A vulnerabilidade foi corrigida e o sistema foi restaurado. Segundo o aviso, não há indício de uso indevido das informações. Oferece 12 meses de monitoramento de crédito gratuito
- O que
- Em 22 de setembro de 2025, o IDHS descobriu que mapas internos de planejamento criados por sua equipe em um site de mapas estavam visíveis publicamente devido a configurações de privacidade incorretas. Os mapas eram destinados a uso interno, para decisões como onde abrir novos escritórios locais
- Quem e quando
- Aproximadamente 32.401 clientes da Division of Rehabilitation Services (publicamente acessíveis de abril de 2021 a setembro de 2025), e aproximadamente 672.616 beneficiários do Medicaid e do Medicare Savings Program (janeiro de 2022 a setembro de 2025)
- Dados
- Para o primeiro grupo: nomes, endereços, números de caso, situação do caso, fonte de encaminhamento e outros. Para o segundo: endereços, números de caso, informações demográficas e o nome do plano de assistência médica, sem os nomes dos beneficiários
- Resposta
- Alterou as configurações de todos os mapas entre 22 e 26 de setembro de 2025 e adotou uma política que proíbe dados em nível de cliente em sites de mapas públicos. Afirma que o site de mapas não conseguiu identificar quem visualizou os mapas, e não tem conhecimento de qualquer uso indevido
- O que (13 de agosto)
- Afirmou ter sido alvo de um ataque cibernético sofisticado durante um fim de semana; os atacantes acessaram parcialmente sistemas de TI e obtiveram dados históricos de recibos de pagamento de serviços da CSDD. Interrompeu o ataque com o CERT.LV e informou as autoridades, incluindo a Data State Inspectorate. Disse que nomes de usuário e senhas dos clientes não foram afetados
- Escopo (18 de agosto)
- Dados pessoais de 1,2 milhão de pessoas, a partir de recibos datados desde 2008: número de identidade pessoal ou de registro da empresa, nome ou razão social, valores e datas de pagamento, números de registro de veículos e endereços (nem sempre completos). Números de telefone e endereços de e-mail não foram comprometidos, segundo relatado
- Avaliação (18 de setembro)
- Uma comissão do Ministério dos Transportes concluiu que uma vulnerabilidade em uma aplicação web mantida pela CSDD possibilitou o acesso inicial. Estimou o escopo em cerca de 1,15 milhão de pessoas e até 200.000 pessoas jurídicas, e recomendou, entre outras medidas, rever os prazos de retenção de dados e melhorar os contratos e a supervisão dos serviços terceirizados
- Depois
- Os serviços presenciais e o e-CSDD continuaram funcionando
- O que
- Um agente malicioso reivindicou o roubo em 12 e 13 de agosto de 2026. Segundo o comunicado oficial do governo, o acesso ilegítimo em junho e julho se baseou em credenciais usadas por impersonação de um agente da DGFiP e de um terceiro autorizado. A DGFiP cortou o acesso quando foi detectado, mas as verificações naquele momento não revelaram que dados tinham sido retirados, segundo a própria instituição
- Pessoas
- Um total de 678.000 pessoas e empresas (comunicado). Os FAQs posteriores indicam pouco mais de 350.000 pessoas físicas e pouco mais de 250.000 empresas
- Dados (pessoas físicas)
- Identificador fiscal, estado civil, dados de contato postal, telefone e e-mail, situação tributária (situação familiar, dependentes, número de cotas, renda tributável de referência, taxa de retenção) e a lista de mensagens trocadas pelo impots.gouv.fr. Para menos de 250 pessoas, também o conteúdo das mensagens (os anexos não foram visualizados). Dados do cadastro imobiliário sobre endereços e áreas de imóveis também foram visualizados
- Resposta
- Cortou o acesso das contas de agentes usadas e cortou preventivamente o acesso a sistemas sensíveis. Encaminhou o caso à CNIL e apresentou uma queixa. Reforçou a proteção das contas fiscais das pessoas afetadas, acompanhando de perto alterações de endereço ou de dados bancários nos próximos meses. Os espaços pessoal e empresarial do impots.gouv.fr e as senhas não foram comprometidos, afirma a instituição
Como ler os números
O número do DMDC é o que um funcionário do Pentágono informou a veículos de imprensa; este site não encontrou uma página pública de aviso do DoD ao fazer a verificação. A CSDD anunciou 1,2 milhão de pessoas em 18 de agosto, enquanto a avaliação do Ministério dos Transportes, de 18 de setembro, indica cerca de 1,15 milhão de pessoas e até 200.000 pessoas jurídicas.
A DGFiP desmembrou o número de 678.000 do comunicado em pessoas físicas e empresas em seus FAQs. Este artigo não classifica os quatro casos por quão “graves” foram. Além disso, a DGFiP também informou que, em 17 de agosto, foi encontrada uma vulnerabilidade técnica em um portal de imóveis vagos que continha apenas dados públicos.
Visão deste site: quando você não pode deixar de usar o órgão, suas ferramentas são seus direitos legais e as medidas que bloqueiam o uso indevido
Quando um serviço privado vaza seus dados, a maioria das pessoas pensa em encerrar a conta. Com uma receita, uma agência de benefícios, a habilitação e o registro de veículos ou registros de pessoal militar, você não pode fazer isso. E esses quatro casos atingiram anos de registros (recibos da CSDD desde 2008, mapas do IDHS desde 2021) e até registros de pessoas que já morreram (294.000 falecidos no caso do DMDC).
Assim, o que funciona do lado do cidadão não é trocar de fornecedor, mas duas ferramentas. Uma são os direitos: use o direito de acesso para descobrir o que é mantido e o que vazou. A outra são as medidas que bloqueiam o uso indevido sempre que um número vazado possa ser abusado (novo crédito, declarações de imposto, sua conta fiscal): um IP PIN, um bloqueio de crédito e uma caixa de e-mail protegida para seus códigos de verificação.
Como mostra o caso do IDHS, alguns vazamentos vêm sem nenhuma forma de saber quem viu os dados. Esperar até encontrar provas de uso indevido é tarde demais, na visão deste site.
Artigos deste site sobre casos relacionados do mesmo ano
Outros casos de órgãos governamentais e entidades públicas são tratados em detalhes em seus próprios artigos, por isso não são repetidos aqui.
- Site de pedidos de identidade e habilitação da França (ANTS / France Titres): uma lista de pessoas com processos em andamento, e como identificar mensagens falsas do ANTS → O vazamento do France Titres (ANTS)
- Companies House do Reino Unido: uma falha que permitia a usuários autenticados ver os dados de diretores de outras empresas → A falha do Companies House WebFiling
- Agência Digital do Japão (GSS): uma invasão ao ambiente de trabalho compartilhado usado por servidores do governo, por meio de uma vulnerabilidade em VPN → O vazamento da Agência Digital e como proteger VPNs
- Governo australiano: um agente de IA alcançou arquivos não públicos em um portal de estatísticas, e o aviso chegou a uma caixa de e-mail pública geral → Casos de acesso não autorizado por agentes de IA
Para quem administra sistemas governamentais ou trabalha para contratados do governo: um primeiro passo para cada forma de acesso
1. Configurações incorretas: liste o escopo de compartilhamento de cada serviço externo
O caso do IDHS aconteceu em um site de mapas, o tipo de serviço externo que raramente é tratado como sistema de informação. A correção do órgão foi uma política que proíbe colocar dados em nível de cliente em sites de mapas públicos.
O primeiro passo é listar as ferramentas SaaS externas que a equipe usa (mapas, formulários, planilhas compartilhadas, compartilhamento de arquivos) e encontrar qualquer item configurado como “qualquer pessoa com o link” ou “público”. Com serviços desse tipo, você pode nunca conseguir saber quem visualizou os dados, por isso a prevenção é a única opção.
2. Sistemas vulneráveis: quantos anos de dados não criptografados estão nos seus compartilhamentos de arquivos?
O caso do DMDC envolveu um sistema de compartilhamento de arquivos; o caso da CSDD, uma aplicação web mantida pela diretoria. Em geral, a velocidade de correção sozinha não basta.
Faça um levantamento para verificar se números que as pessoas não podem alterar, como SSNs, estão sem criptografia em locais de compartilhamento de arquivos, e por quantos anos de registros são mantidos ali. Esse é o sentido da recomendação da comissão do Ministério dos Transportes de rever os prazos de retenção de dados na CSDD. Como defender dispositivos de borda e software é tratado em como defender sua VPN.
3. Credenciais usadas por impersonação: exija do pessoal e dos terceiros autorizados o mesmo padrão
No caso da DGFiP, o governo afirma que as credenciais de um terceiro autorizado, além de as de um agente, foram usadas por impersonação. Os sistemas governamentais têm contas de pessoas que não são servidores: contratados e profissionais que atuam em nome de cidadãos. O primeiro passo é exigir o mesmo MFA resistente a phishing (passkeys ou chaves de segurança FIDO2) para contas que não são de servidores, e limitar o que cada conta pode ver ao que a função exige (veja O que é uma passkey?).
Verifique “o acesso foi cortado” e “nada foi retirado” separadamente
A DGFiP afirma que, quando detectou e cortou o acesso ilegítimo, ainda não conseguia ver que dados tinham sido retirados. Em geral, desativar uma conta e apurar quantos registros essa conta leu e enviou para fora são tarefas diferentes. Para a segunda, registre quantos registros cada conta consulta por dia, e emita alerta quando ultrapassar um múltiplo do normal, começando pelos seus dados mais sensíveis.
Se você foi afetado: o perigo mais próximo é o contato “do órgão” que segue o aviso
Nos quatro casos, saíram detalhes que só você deveria conhecer: endereços, números de identificação, renda, placas de veículos, cargos militares. Isso basta para montar ligações, mensagens e e-mails convincentes.
Se alguém pedir um código, senha ou dados bancários em nome de “indenização”, “restituição de imposto” ou “atualização do seu cadastro”, desligue e ligue para um número que você mesmo procurou no site oficial do órgão. O FAQ da DGFiP recomenda guardar provas (mensagens, endereços de sites, capturas de tela) se você suspeitar de fraude.
Fontes (registros públicos)
Os fatos deste artigo se baseiam nos avisos oficiais e nos registros públicos abaixo, e em reportagens que citam autoridades. Os números são apenas os informados pelos órgãos, governos ou autoridades; não são usadas estimativas da imprensa nem especulações sobre causas não divulgadas. Terceirizados e fornecedores são descritos apenas pelo papel.
- Illinois Department of Human Services, “Notice to the Media from Illinois Department of Human Services – Incident Involving Protected Health Information” (2 de janeiro de 2026) — idhs.prezly.com
- CSDD, “CSDD saskārusies ar kiberdrošības incidentu” (13 de agosto de 2026, comunicado oficial publicado pelo Latvijas Vēstnesis) — lvportals.lv
- CSDD, “CSDD mājaslapā izveidota vienota sadaļa par kiberdrošības incidentu” (21 de agosto de 2026) — lvportals.lv
- Ministério dos Transportes da Letônia, “Pabeigts CSDD kiberincidenta izvērtējums” (18 de setembro de 2026) — lvportals.lv
- Emissora pública da Letônia LSM (em inglês): anúncio da CSDD de 18 de agosto (1,2 milhão, recibos desde 2008) — eng.lsm.lv / conselho provisório eleito (20 de agosto) — eng.lsm.lv
- DGFiP, “Vol de données suite à des accès illégitimes au système d'information de la DGFiP” (14 de agosto de 2026, atualizado em 14 de setembro) — impots.gouv.fr / FAQ para pessoas físicas (24 de agosto de 2026) — impots.gouv.fr (PDF) / FAQ para empresas — impots.gouv.fr (PDF) / “Fuites de données : comment réagir ?” — impots.gouv.fr (PDF)
- Ministério da Economia e Finanças da França, comunicado nº 953, “Accès illégitimes au système d'information de la Direction générale des Finances publiques” (14 de agosto de 2026) — presse.economie.gouv.fr
- DGFiP, “FAQ : Réussir l'authentification en deux étapes” — impots.gouv.fr (PDF)
- CNIL, “Le droit d'accès : connaître les données qu'un organisme détient sur vous” — cnil.fr
- Reportagens (conteúdo do aviso do DMDC e os números informados por um funcionário do Pentágono): Military Times (24 de setembro de 2026) — militarytimes.com / Federal News Network — federalnewsnetwork.com / Stars and Stripes (29 de setembro de 2026) — stripes.com
- Federal Trade Commission, “What To Know About Credit Freezes and Fraud Alerts” — consumer.ftc.gov / “How To Avoid a Government Impersonation Scam” — consumer.ftc.gov
- Internal Revenue Service, “Get an identity protection PIN” — irs.gov
- US Department of Justice, Office of Privacy and Civil Liberties, “Privacy Act of 1974” — justice.gov
- Japão, Lei de Proteção de Informações Pessoais (Artigo 76, direito de solicitar divulgação) — e-Gov (em japonês)
Histórico de atualizações
2026-09-30: Primeira publicação. Com base no aviso do IDHS, nos anúncios da CSDD e do Ministério dos Transportes da Letônia, no aviso e nos FAQs da DGFiP e no comunicado do ministério francês da economia e finanças, nas reportagens sobre o aviso do DMDC e os números de um funcionário do Pentágono, e nas orientações públicas da FTC, do IRS, da CNIL e do Departamento de Justiça dos EUA. Atualizaremos se os órgãos publicarem mais informações, como uma página oficial de aviso do DMDC.
Leia a seguir
- O mesmo padrão no Japão: O e-Tax do Japão exibiu declarações de imposto sobre doações de outras pessoas (79 contribuintes)
- Outro caso governamental: Medicaid do DC (dados ocultos em relatórios publicados)
- Um vazamento em site do governo francês: O vazamento do France Titres (ANTS) e mensagens falsas do ANTS
- Uma falha em registro do Reino Unido: A falha do Companies House WebFiling e o que os diretores devem fazer
- Um caso governamental japonês: O vazamento da Agência Digital do Japão e como proteger VPNs
- Agentes de IA acessando sites governamentais: Casos de acesso não autorizado por agentes de IA (2026)
- A lista de verificação dos EUA em uma página (bloqueio de crédito, IP PIN): O vazamento da DentaQuest e o que os segurados devem fazer
- Termos: O que é phishing? / O que é GDPR?
- Outros incidentes de 2026: Lista de vazamentos e ataques cibernéticos (Japão e mundo)