Contas Falsas com E-mails Vazados: o Novo Mercado Clandestino do Crime Digital

1. O que aconteceu

Um levantamento da AllowMe, empresa especializada em proteção de identidades digitais, revelou que, em 2021, criminosos usaram e-mails vazados para abrir cerca de 500 mil contas falsas no Brasil — uma média de 3,7 tentativas de fraude online por minuto no país. O estudo, batizado de Device Fraud Scan 2022, analisou mais de 155 milhões de interações de usuários brasileiros em aplicativos e sites de diversos setores para mapear o comportamento típico de um fraudador na internet.

Segundo a pesquisa, a maior parte das tentativas fraudulentas (mais de 60%) ocorre justamente no momento do login, o que indica que o principal objetivo dos criminosos é assumir o controle de contas já existentes, e não apenas criar cadastros novos. Outros levantamentos do setor de segurança digital, à época, indicavam que dezenas de milhões de brasileiros já haviam tido dados como e-mail, nome e CPF expostos em vazamentos anteriores — matéria-prima para esse tipo de fraude em cadeia.

Fonte: O Tempo, “Hackers abriram 500 mil contas falsas com emails vazados no Brasil, diz estudo” (mar. 2022), com base no estudo Device Fraud Scan 2022, da AllowMe.

2. Classificação jurídica do fato

A conduta descrita no estudo não configura um único tipo penal isolado, mas costuma envolver a combinação de dois ou mais crimes, a depender da fase em que o agente é flagrado:

Invasão de dispositivo informático (art. 154-A do Código Penal): quando há acesso indevido a e-mail, celular ou computador alheio para obter os dados que serão usados na fraude, com pena de reclusão de 1 a 4 anos e multa.
Estelionato na modalidade de fraude eletrônica (art. 171, §2º-A, do Código Penal): quando os dados obtidos são usados para induzir a vítima ou terceiro a erro e conseguir vantagem ilícita, com pena de reclusão de 4 a 8 anos e multa — sanção significativamente mais grave do que a do estelionato comum, justamente para punir com mais rigor a fraude cometida por meios digitais.
Falsa identidade (art. 307 do Código Penal), quando o agente se passa pelo titular do e-mail ou da conta para obter vantagem ou causar dano a terceiro.

Havendo divisão de tarefas entre vários agentes — quem obtém os dados, quem cria as contas, quem movimenta os valores —, é possível ainda a caracterização de organização criminosa (Lei nº 12.850/2013) e de lavagem de dinheiro (Lei nº 9.613/1998), conforme a estrutura do esquema identificado em cada investigação.

3. Como o golpe funciona

De modo geral, o esquema segue uma lógica em cadeia: primeiro, o criminoso obtém acesso a bases de e-mails e senhas vazadas em incidentes de segurança de empresas ou serviços diversos. Em seguida, testa essas credenciais em múltiplas plataformas — bancos, e-commerces, redes sociais — para verificar quais ainda funcionam ou permitem recuperação de senha.

A partir daí, o fraudador pode assumir contas já existentes da vítima ou usar o e-mail vazado para abrir novas contas em nome dela, muitas vezes automatizando o processo para testar um grande volume de credenciais em pouco tempo. Segundo o estudo citado, os sistemas antifraude identificam esse padrão observando um conjunto de sinais combinados — como frequência incomum de tentativas, mudanças bruscas de localização e uso do mesmo dispositivo para múltiplas contas —, o que reforça que nenhum indício isolado costuma ser suficiente para caracterizar a fraude, mas sim a soma de vários comportamentos suspeitos.

4. Sinais de alerta

Notificações de tentativa de login ou de alteração de senha que você não reconhece.
E-mails de confirmação de cadastro em serviços que você nunca utilizou.
Cobranças, boletos ou mensagens de cadastro vindos de plataformas desconhecidas.
Bloqueio inesperado do seu próprio acesso a um e-mail ou aplicativo, sem motivo aparente.
Recebimento de códigos de verificação (SMS ou e-mail) que você não solicitou.

5. Como se prevenir

Verifique periodicamente, em serviços confiáveis de checagem de vazamento, se o seu e-mail já foi exposto em algum incidente de segurança.
Nunca reutilize a mesma senha em diferentes serviços; um vazamento em um site pode comprometer contas em vários outros.
Ative a autenticação em dois fatores (2FA) em e-mail, redes sociais e aplicativos bancários.
Desconfie de mensagens pedindo confirmação de dados pessoais ou clique em links, mesmo que pareçam vir de empresas conhecidas.
Troque senhas regularmente e evite salvá-las em navegadores sem proteção adicional.

6. Se você já caiu no golpe

Troque imediatamente a senha do e-mail e de todas as contas vinculadas a ele.
Ative (ou reforce) a autenticação em dois fatores em todos os serviços possíveis.
Reúna e preserve provas: prints de tela, e-mails recebidos, extratos e notificações — elas serão essenciais para a investigação.
Comunique imediatamente o banco, a operadora ou a plataforma envolvida para bloquear operações e contas fraudulentas.
Registre um Boletim de Ocorrência, presencialmente ou pela delegacia eletrônica, relatando o ocorrido com o máximo de detalhes.
Procure uma delegacia especializada em crimes cibernéticos para acompanhamento técnico do caso.

7. O que a lei prevê para o autor

Como visto no item 2, o investigado pode responder por invasão de dispositivo informático (pena de 1 a 4 anos de reclusão) e por estelionato mediante fraude eletrônica (pena de 4 a 8 anos de reclusão), penas que podem ser somadas em caso de concurso de crimes, além de aumentadas se houver uso de servidores no exterior, organização criminosa ou vítima idosa ou vulnerável.

A prática de abrir contas com dados de terceiros para fins de fraude financeira já resultou em operações policiais concretas no Brasil. Um exemplo é a Operação Versão Brasileira, deflagrada em julho de 2026 pela Polícia Federal em conjunto com o GAECO da Bahia, que investigou um grupo suspeito de usar documentos falsos para abrir contas bancárias e contratar empréstimos fraudulentos, com indícios de posterior lavagem de dinheiro. Outro caso de repercussão foi a Operação Falso 9, que apurou a abertura de contas em nome de terceiros — incluindo jogadores de futebol conhecidos — para desviar valores por meio de fraude eletrônica, com prisões e apreensões em diferentes estados.

É importante reforçar que, até que haja decisão judicial definitiva, qualquer pessoa investigada por fatos semelhantes aos aqui descritos deve ser tratada como suspeita ou investigada, jamais como condenada.

8. Aviso editorial

Este conteúdo tem finalidade exclusivamente educativa e preventiva, elaborado a partir de fontes públicas e de estudo especializado em segurança digital. Não há, nesta postagem, identificação de vítimas nem de investigados específicos, e nenhuma afirmação de culpa é feita em relação a qualquer pessoa antes do trânsito em julgado de eventual ação penal, em respeito ao princípio da presunção de inocência.