Como o CPF pode ser utilizado por terceiros?

O CPF funciona como um dos principais identificadores nas relações financeiras, comerciais e governamentais brasileiras. Entretanto, o número isolado não deveria ser suficiente para concluir uma contratação. Fraudes normalmente envolvem a combinação de CPF, nome completo, data de nascimento, endereço, telefone, e-mail, fotografia de documento e selfie.

Essas informações podem ser obtidas por meio de páginas falsas, mensagens de phishing, documentos perdidos, vazamentos, invasões de e-mail, aplicativos maliciosos, redes sociais ou cadastros preenchidos em empresas fraudulentas.

Entre os usos indevidos mais frequentes estão:

• Abertura de conta bancária ou conta de pagamento.
• Solicitação de cartão de crédito.
• Contratação de empréstimo ou financiamento.
• Compra parcelada em loja física ou virtual.
• Cadastro de telefone ou serviço recorrente.
• Criação de chave Pix vinculada a conta fraudulenta.
• Inclusão como sócio, administrador ou representante de empresa.
• Criação de dívida e posterior negativação.
• Uso dos dados para aplicar novos golpes em terceiros.

Quais sinais indicam possível fraude?

A utilização indevida pode ser descoberta por meio de uma cobrança, alerta do banco, consulta ao score, mensagem de aprovação ou relatório oficial. Alguns sinais merecem atenção imediata:

• Consulta ao CPF feita por empresa desconhecida.
• Cartão, conta ou empréstimo que você nunca solicitou.
• Código de autenticação recebido sem iniciar operação.
• Mensagem informando mudança de telefone ou e-mail.
• Chave Pix cadastrada em banco desconhecido.
• Dívida ou negativação que você não reconhece.
• Compra entregue em endereço diferente do seu.
• Empresa aberta ou alterada utilizando seu CPF.
• Acesso suspeito à Conta gov.br ou ao e-mail.
• Recusa de crédito causada por obrigação desconhecida.

Uma única consulta desconhecida não prova que houve contratação. A razão social exibida também pode pertencer a uma instituição parceira de alguma compra legítima. Contudo, quando não existe explicação, é necessário verificar a origem.

Primeira regra: não faça novos pagamentos

Golpistas podem entrar em contato depois da fraude e oferecer o cancelamento da dívida mediante uma taxa. Também podem fingir que representam o banco, o bureau ou um escritório de regularização.

Não faça Pix, não pague boletos recebidos por mensagens e não forneça códigos de autenticação. Uma instituição legítima deve investigar uma contratação desconhecida sem exigir que a vítima pague antecipadamente para abrir a contestação.

Também não pague a dívida apenas para retirar rapidamente a negativação. Primeiro, solicite o contrato, identifique como ocorreu a contratação e registre formalmente que não reconhece a obrigação.

Primeiras horas: entre em contato com bancos e instituições

Quando já existe uma conta, cartão, empréstimo ou transferência identificada, procure imediatamente a instituição envolvida por seus canais oficiais. Não utilize o telefone ou o link fornecido pelo possível golpista.

Informe que se trata de suspeita de fraude de identidade e solicite:

• Bloqueio preventivo da conta, cartão ou contrato.
• Suspensão das cobranças durante a investigação.
• Cancelamento de acessos e dispositivos não reconhecidos.
• Preservação dos registros digitais da contratação.
• Cópia integral da proposta e do contrato.
• Número de protocolo do atendimento.

Peça que a instituição registre expressamente que você não reconhece a operação. Uma simples pergunta sobre o contrato pode ser tratada como solicitação de informação, e não como contestação formal.

Se houve Pix, solicite o MED imediatamente

Se você transferiu dinheiro ao golpista por Pix, avise seu banco o mais rapidamente possível e solicite a abertura do Mecanismo Especial de Devolução. O MED é um procedimento exclusivo do Pix criado para aumentar as possibilidades de recuperação em situações de fraude, golpe ou crime.

O Banco Central informa que o pedido pode ser registrado na instituição do pagador em até 80 dias da data da transferência. Entretanto, agir rapidamente é importante porque a devolução depende da análise do caso e da existência de recursos que possam ser bloqueados na conta recebedora. O MED não garante que o dinheiro será recuperado.

Guarde o comprovante do Pix, a chave utilizada, o nome do beneficiário, o horário, a conversa e o protocolo fornecido pelo banco.

Preserve todas as provas

Não apague conversas, e-mails ou arquivos antes de preservar o conteúdo. A Polícia Federal orienta vítimas de crimes cibernéticos a guardar capturas de tela, mensagens e e-mails e a não eliminar materiais digitais que possam servir como prova.

Organize uma pasta contendo:

• Capturas completas das conversas.
• Números de telefone e perfis utilizados.
• Endereços dos sites acessados.
• E-mails recebidos e enviados.
• Comprovantes de Pix, boletos e cartões.
• Contratos ou propostas desconhecidas.
• Alertas enviados por bancos e bureaus.
• Relatórios oficiais consultados.
• Protocolos de atendimento.
• Data e horário de cada acontecimento.

Evite editar as capturas de tela. Mantenha uma cópia original e, se precisar ocultar informações para uma reclamação pública, crie uma segunda versão.

Registre um boletim de ocorrência

O boletim de ocorrência formaliza o relato e pode ser solicitado durante a investigação das instituições. Registre-o na Polícia Civil do seu estado ou do Distrito Federal, pela delegacia eletrônica quando essa opção estiver disponível ou presencialmente.

O Governo Digital recomenda o registro policial quando há alteração ou acesso suspeito à Conta gov.br, com anexação de e-mails ou telas que comprovem a atividade indevida. A investigação criminal cabe à autoridade policial.

No boletim, inclua:

• Como e quando você descobriu a fraude.
• Quais produtos foram contratados.
• Valores envolvidos.
• Empresas e bancos relacionados.
• Telefones, e-mails e endereços eletrônicos utilizados.
• Documentos ou fotografias enviados.
• Contas destinatárias dos recursos.
• Protocolos das contestações.

O boletim não cancela automaticamente uma dívida, mas serve como elemento importante para demonstrar que a vítima contestou a contratação.

Consulte o Registrato do Banco Central

O Registrato é um sistema gratuito que permite consultar empréstimos em seu nome, bancos nos quais existem contas ou relacionamentos, chaves Pix cadastradas, cheques sem fundos e determinadas operações de câmbio.

Os relatórios mais importantes em uma emergência são:

• Empréstimos e Financiamentos — SCR: mostra dívidas e compromissos informados por instituições financeiras.
• Contas e Relacionamentos — CCS: identifica instituições nas quais existe ou existiu relacionamento.
• Chaves Pix: apresenta as chaves registradas e as instituições vinculadas.
• Cheques sem Fundos — CCF: informa ocorrências existentes no cadastro correspondente.

O relatório SCR é especialmente útil para localizar empréstimos ou limites que você não reconhece. O acesso é feito pelo Meu BC com Conta gov.br de nível prata ou ouro e verificação em duas etapas.

Os relatórios são atualizados imediatamente?

Não todos. O Banco Central informa que o Relatório de Chaves Pix é atualizado em tempo real quando a instituição registra a chave. Já o relatório de Contas e Relacionamentos é atualizado diariamente, mas uma nova conta pode levar até dois dias úteis para aparecer.

As informações de empréstimos seguem ciclos próprios de envio. Portanto, uma contratação recente pode ainda não estar visível. Depois de uma fraude, repita as consultas nos dias e semanas seguintes.

Salve cada relatório com a data da emissão. Isso permite comparar mudanças e demonstrar quando determinada operação passou a aparecer.

Como agir diante de uma conta desconhecida?

Ao encontrar uma instituição que você não reconhece no relatório CCS, procure o banco ou a instituição de pagamento pelos canais oficiais.

Solicite:

• Data e horário da abertura.
• Canal utilizado.
• Telefone e e-mail cadastrados.
• Documentos apresentados.
• Selfie ou biometria utilizada.
• Endereço IP e dispositivo, quando disponíveis.
• Produtos e cartões emitidos.
• Movimentações realizadas.
• Bloqueio e encerramento da conta fraudulenta.

Peça também que a instituição informe se os dados foram compartilhados com parceiros, bureaus ou outras empresas.

Como contestar um empréstimo não contratado?

Solicite à instituição financeira a cópia integral do contrato e todas as evidências de autenticação. A contestação deve identificar claramente o empréstimo e declarar que você não realizou, não autorizou e não recebeu os recursos da operação.

Peça informações sobre:

• Conta para a qual o dinheiro foi enviado.
• Telefone, e-mail e endereço utilizados.
• Documento e fotografia apresentados.
• Data, horário e canal da contratação.
• Assinatura digital, biometria ou código de confirmação.
• Dispositivo e registros técnicos associados.
• Eventuais transferências posteriores.

Solicite a suspensão das parcelas, a retirada de débitos automáticos e a correção das informações enviadas ao SCR e aos bureaus quando a fraude for reconhecida.

Empréstimo consignado ou desconto em benefício

Quando o contrato desconhecido provoca desconto em salário, aposentadoria ou benefício, procure imediatamente a instituição financeira e o órgão pagador.

No caso de benefício previdenciário, confira os contratos e extratos disponíveis no Meu INSS. Solicite o bloqueio de novas operações quando o recurso estiver disponível e conteste formalmente o empréstimo que não reconhece.

Guarde extratos que demonstrem os descontos. Eles serão importantes para calcular os valores retirados e solicitar restituição depois da confirmação da fraude.

Ative o BC Protege+

O BC Protege+ é um serviço gratuito criado para aumentar a proteção contra fraudes de identidade na abertura de contas. O titular pode informar ao sistema financeiro que não deseja, naquele momento, abrir determinadas contas nem ser incluído como titular ou representante em contas de terceiros.

A proteção abrange contas correntes, contas de poupança e contas de pagamento pré-pagas nas condições do serviço. O acesso exige Conta gov.br prata ou ouro com verificação em duas etapas.

O BC Protege+ não cancela contas já abertas e não bloqueia universalmente cartões, empréstimos, compras ou consultas de crédito. Ele deve ser utilizado como uma camada preventiva adicional.

Proteja o CPF contra inclusão em empresas

A Receita Federal disponibiliza gratuitamente uma ferramenta que impede novas inclusões do CPF no quadro societário de pessoas jurídicas. A proteção alcança juntas comerciais, cartórios de registro de pessoas jurídicas, OAB e diferentes tipos jurídicos, incluindo MEI.

Ela pode evitar que o documento seja utilizado para incluir a vítima como titular, sócia, representante ou administradora de uma empresa.

A ferramenta não remove participações que já existem. Consulte separadamente os CNPJs vinculados ao seu CPF e conteste qualquer empresa desconhecida nos órgãos responsáveis.

Proteja sua Conta gov.br

Altere a senha imediatamente quando houver acesso suspeito, e verifique se o telefone e o e-mail cadastrados continuam corretos. Utilize uma senha exclusiva e ative a verificação em duas etapas.

O Governo Digital orienta que o usuário registre a ocorrência, preserve as evidências e altere a senha. Quando necessário para a segurança do titular, também existe procedimento para solicitar o bloqueio administrativo da Conta gov.br. Durante o bloqueio, os serviços integrados ficam indisponíveis para o próprio titular.

Não entregue sua senha a contadores, familiares ou supostos atendentes. Quando outra pessoa precisar atuar em seu nome, utilize procurações e autorizações oficiais com limites definidos.

Proteja o e-mail e o telefone

O e-mail é uma das contas mais importantes porque costuma ser utilizado para recuperar senhas de bancos, lojas e serviços públicos.

Depois de uma fraude:

• Troque a senha do e-mail.
• Encerre sessões em dispositivos desconhecidos.
• Confira e-mails e telefones de recuperação.
• Verifique regras de encaminhamento automático.
• Ative autenticação em dois fatores.
• Remova aplicativos conectados que não reconhece.

Se o chip do celular parar de funcionar inesperadamente, entre em contato com a operadora. Pode ter ocorrido troca ou transferência fraudulenta da linha.

Consulte os bureaus de crédito

Acesse os portais oficiais dos principais gestores de bancos de dados e verifique dívidas, consultas, score e outras informações associadas ao CPF.

Ao encontrar uma anotação desconhecida, salve o relatório e identifique:

• Empresa credora.
• Valor e vencimento.
• Data da inclusão.
• Número do contrato.
• Origem da compra ou serviço.
• Possível duplicidade.

Conteste tanto com o credor quanto com o bureau. O credor possui os registros da contratação, enquanto o gestor controla a informação apresentada em sua base.

Como contestar uma negativação fraudulenta?

A contestação deve ser objetiva e acompanhada das provas disponíveis. Informe que não reconhece o contrato, indique a data em que descobriu o registro e solicite a retirada da anotação durante ou após a investigação.

Anexe, quando aplicável:

• Documento de identidade.
• Boletim de ocorrência.
• Relatório que apresenta a negativação.
• Protocolos do credor.
• Comprovantes de endereço da época.
• Provas de que o dinheiro ou produto foi destinado a terceiro.

Não publique cópias completas dos documentos em áreas públicas de sites de reclamação.

Direitos previstos na LGPD

A LGPD assegura ao titular direitos como confirmar a existência de tratamento, acessar os dados pessoais e solicitar a correção de informações incompletas, inexatas ou desatualizadas.

Em uma contratação fraudulenta, solicite à empresa informações sobre os dados utilizados, a origem, a finalidade, os compartilhamentos e os registros da autenticação.

O pedido deve ser apresentado primeiro à organização responsável pelo tratamento. Caso os direitos não sejam atendidos, o titular pode apresentar petição à ANPD, demonstrando a tentativa anterior de solução. A ANPD atua em questões de proteção de dados, mas não substitui a polícia na investigação criminal nem o banco no cancelamento do contrato.

Use o Consumidor.gov.br, Procon e ouvidorias

Se o atendimento inicial não resolver, procure o SAC e a ouvidoria da instituição. Bancos e empresas precisam fornecer protocolos que permitam acompanhar a reclamação.

O Consumidor.gov.br é um serviço público de comunicação direta entre consumidores e empresas participantes. Depois que a reclamação é registrada, a empresa possui até dez dias para analisar e responder.

O Procon também pode ser procurado, especialmente quando há cobrança, negativação, recusa em fornecer documentos ou demora injustificada na solução.

Apresente uma cronologia clara, com datas, valores, documentos e protocolos. Reclamações organizadas costumam facilitar a identificação do problema.

Crie uma cronologia da fraude

Monte um documento simples com todos os acontecimentos em ordem:

1. Data em que seus dados podem ter sido expostos.
2. Primeiro alerta ou cobrança recebida.
3. Consulta ao CPF ou relatório no qual apareceu a operação.
4. Contato realizado com a instituição.
5. Bloqueios solicitados.
6. Boletim de ocorrência registrado.
7. Documentos enviados.
8. Respostas e prazos informados.
9. Correções realizadas.
10. Pendências que continuam abertas.

Essa cronologia será útil para ouvidorias, Procon, Consumidor.gov.br, ANPD e eventual orientação jurídica.

O que fazer nos sete dias seguintes?

• Repita as consultas no Registrato.
• Confira se novas chaves Pix apareceram.
• Acompanhe bancos e bureaus de crédito.
• Revise todos os dispositivos conectados às suas contas.
• Atualize senhas repetidas.
• Ative o BC Protege+.
• Impeça novas participações do CPF em CNPJ.
• Confirme se cartões e contratos foram bloqueados.
• Cobre respostas dentro dos protocolos.
• Registre novas ocorrências como complemento ao boletim, se necessário.

Não considere o caso encerrado apenas porque uma primeira dívida foi cancelada. Os mesmos dados podem ter sido enviados para várias empresas.

Acompanhamento nos meses seguintes

Alguns criminosos guardam os dados e tentam utilizá-los posteriormente. Mantenha o acompanhamento por vários meses, principalmente depois de ter enviado fotografias de documentos ou selfies.

Periodicamente:

• Consulte contas e empréstimos no Registrato.
• Confira o histórico de consultas ao CPF.
• Revise faturas e extratos bancários.
• Verifique linhas telefônicas e serviços contratados.
• Acompanhe comunicações da Receita Federal.
• Confira participações empresariais.
• Mantenha alertas bancários ativados.

Guarde os documentos da fraude mesmo depois da solução. Novas cobranças podem surgir posteriormente por causa do mesmo conjunto de dados.

Erros que a vítima deve evitar

• Apagar mensagens antes de preservar as provas.
• Pagar dívida desconhecida por medo da negativação.
• Entrar em contato pelo número enviado pelo golpista.
• Publicar CPF e documentos completos na internet.
• Entregar senhas e códigos a supostos atendentes.
• Instalar aplicativo de acesso remoto.
• Fazer apenas uma consulta no Registrato.
• Acreditar que o boletim cancela automaticamente contratos.
• Não pedir número de protocolo.
• Encerrar o acompanhamento cedo demais.

Checklist emergencial

• Bloqueei as contas, cartões ou contratos desconhecidos?
• Avisei o banco sobre eventual Pix?
• Solicitei o MED?
• Preservei mensagens, documentos e comprovantes?
• Registrei boletim de ocorrência?
• Consultei empréstimos, contas e chaves no Registrato?
• Ativei o BC Protege+?
• Protegi meu CPF contra inclusão em CNPJ?
• Troquei as senhas do e-mail e da Conta gov.br?
• Ativei a autenticação em dois fatores?
• Consultei os bureaus de crédito?
• Contestei as dívidas e negativações?
• Guardei todos os protocolos?
• Criei uma cronologia do caso?
• Programei novas verificações?

Perguntas frequentes

Uma consulta desconhecida prova que usaram meu CPF? Ela comprova que houve acesso ou tentativa de análise, mas não necessariamente que um contrato foi concluído.

O boletim de ocorrência cancela a dívida? Não automaticamente. Ele ajuda a documentar a fraude, mas a operação precisa ser contestada junto à empresa responsável.

O Registrato mostra todas as compras? Não. Ele apresenta relacionamentos e operações informadas por instituições financeiras, e não todas as compras comerciais.

O BC Protege+ bloqueia todos os empréstimos? Não. A proteção é direcionada principalmente à abertura e à inclusão em determinados tipos de conta.

É possível recuperar um Pix? O MED aumenta a possibilidade de recuperação, mas a devolução depende da análise e da existência de saldo bloqueável.

Devo pagar a dívida para depois discutir? Em geral, uma dívida desconhecida deve ser contestada antes do pagamento. Casos específicos podem exigir orientação jurídica individualizada.

Por quanto tempo devo monitorar? Não existe prazo único. Quando documentos completos foram expostos, é prudente manter verificações periódicas durante os meses seguintes.

Conclusão

O uso não autorizado do CPF pode resultar em contas, cartões, empréstimos, compras, empresas e dívidas criadas em nome da vítima. A rapidez da resposta ajuda a reduzir o prejuízo, mas as providências precisam ser documentadas.

As primeiras medidas são bloquear produtos, comunicar as instituições, preservar provas e registrar boletim de ocorrência. Em seguida, o titular deve consultar o Registrato, verificar os bureaus, proteger a Conta gov.br e ativar barreiras preventivas como o BC Protege+ e a proteção contra inclusão em CNPJ.

Contratos e negativações desconhecidos devem ser contestados formalmente. Caso o atendimento não resolva, podem ser utilizados SAC, ouvidoria, Consumidor.gov.br, Procon e, em questões relacionadas ao tratamento de dados, a ANPD.

Mesmo depois da primeira solução, o monitoramento deve continuar. Dados roubados podem ser utilizados novamente, e algumas operações levam tempo para aparecer nos relatórios.

Organização, segurança digital e acompanhamento constante são fundamentais para recuperar o controle da identidade financeira e evitar que uma fraude isolada produza novos prejuízos.