Vazamento de 412 mil compradores do festival The Town 2025 é vendido para fraude bancária no Brasil
Um vendedor em fórum russo de compra e venda de dados listou o que chama de base da Ticketmaster com mais de 412 mil registros de compradores latino-americanos, 61% deles brasileiros, incluindo nome, CPF, e-mail, telefone e detalhes de pagamento. O anúncio é explícito quanto ao uso: o próprio vendedor afirma que os CPFs servem para fraude bancária, aplicativos de empréstimo e registro fraudulento de chip (SIM swap).
Esse caso é didático porque o próprio criminoso descreve o caso de uso final dos dados, algo raro de ver documentado tão diretamente. Ao anunciar que os CPFs "servem" para fraude bancária, abertura de empréstimo via app e registro de SIM, o vendedor está confirmando o fluxo padrão de monetização de vazamentos de dados cadastrais no Brasil: o CPF sozinho, combinado com nome completo, e-mail e telefone, já é suficiente para tentar abrir contas digitais, contratar crédito consignado ou pessoal em fintechs com processos de onboarding menos rigorosos, e — o ponto mais perigoso — solicitar a portabilidade de um número de celular para um chip novo (SIM swap), o que na prática sequestra o segundo fator de autenticação (SMS) usado por bancos e carteiras digitais.
A origem do vazamento ainda não está confirmada; a hipótese mais provável não é uma invasão direta à Ticketmaster, mas sim o compartilhamento (ou vazamento) de uma base exportada para parceiros comerciais do evento — patrocinadores, gráficas de ingresso, empresas de CRM ou de logística que recebem listas de compradores para ações de marketing. Isso é relevante porque mostra que o elo mais fraco raramente é o sistema principal de venda de ingressos, e sim os terceiros que recebem cópias dos dados sem os mesmos controles de segurança.
Do ponto de vista de quem comprou ingresso para o evento, a exposição de CPF e telefone justifica ações concretas: ativar alertas de novas contas/consultas de crédito (ex.: Registrato do Bacen, serviços de monitoramento de CPF), desconfiar de SMS pedindo para reenviar códigos de verificação ou de contato da operadora sobre troca de chip não solicitada, e monitorar o extrato bancário e o aplicativo do banco quanto a tentativas de abertura de conta ou de crédito em seu nome. Para organizadores de eventos e seus parceiros, o incidente reforça que dados de CPF coletados para emissão de ingresso nominal deveriam ter retenção mínima e não deveriam circular livremente entre fornecedores sem contrato de proteção de dados e trilha de auditoria — exatamente o tipo de controle que a LGPD exige e que, neste caso, aparentemente falhou em algum elo da cadeia.