Na Rússia vazaram mais bases de dados do que em quatro regiões do mundo juntas
Uma empresa russa de informações sobre ameaças contou as bases de dados que apareceram publicamente ao longo de dezoito meses e chegou a dois números que correram depressa: 326 bases russas divulgadas e cerca de 1,18 mil milhões de linhas de dados. Ambos são verdadeiros. Medem menos do que os títulos prometem, e essa diferença vale a pena perceber onde quer que se viva, porque os mesmos problemas de contagem estão em todos os relatórios de fugas.
Em resumo
- A F6 contou 326 publicações de bases de empresas russas em 2025 e no primeiro semestre de 2026, com cerca de 1175 milhões de linhas.
- É quase o dobro dos 164 casos registados na América Latina, no Médio Oriente e África, na Ásia-Pacífico e nos restantes países da CEI em conjunto.
- A Europa e a América do Norte não estão na comparação publicada, pelo que «primeiro lugar mundial» é a formulação dos títulos e não um ranking comparável.
- Uma linha não é uma pessoa. A mesma pessoa aparece em muitas linhas, e estas vão de um endereço de email a dados de passaporte e uma palavra-passe de serviço.
O que foi contado
A unidade aqui é uma publicação, não uma intrusão. A F6 conta bases que apareceram publicamente, em fóruns e canais onde se despejam dados roubados, durante 2025 e os primeiros seis meses de 2026. Uma empresa comprometida em silêncio cujos dados nunca foram publicados não entra nesta contagem. Ou seja, o número segue o que veio a público, não o que foi roubado.
Ponha de lado os números russos e o resto do mundo estudado distribui-se assim: América Latina 33 por cento dos casos registados, Médio Oriente e África 29 por cento, Ásia-Pacífico 8 por cento e restantes países da CEI 4 por cento. Mas o maior volume de linhas não veio da região com mais incidentes. À Ásia Central cabem 257 milhões de linhas, mais de um terço do total mundial, e quase tudo vem de um só país: o Tajiquistão soma cerca de 217 milhões de linhas, 84 por cento do total centro-asiático, à frente do Cazaquistão com 25 milhões e do Usbequistão com 15 milhões.
Três coisas que estes números não dizem
Isto pesa mais do que o ranking e vale para qualquer estatística de fugas que leia este ano.
- Uma linha não é uma pessoa. O mesmo indivíduo aparece muitas vezes dentro de uma base e outra vez em cada base diferente que o contenha. Somar linhas entre fugas conta as mesmas pessoas repetidamente.
- As linhas não valem o mesmo. Uma pode não conter mais do que um email; outra, nome completo, número de passaporte e palavra-passe de serviço. O total nada diz sobre essa mistura.
- As regiões não são comparadas em pé de igualdade. A repartição publicada abrange América Latina, Médio Oriente e África, Ásia-Pacífico e países da CEI. A Europa e a América do Norte não constam, por isso um primeiro lugar mundial não se estabelece com estes números.
A que os investigadores o atribuem
A F6 liga a concentração de incidentes à intensificação, durante o conflito geopolítico, dos ataques a empresas e organismos estatais, com o objetivo de causar o máximo dano às empresas e aos seus clientes, mais do que de lucrar com os dados. A empresa relata ainda algo que os números grandes tapam: no primeiro semestre de 2026 o número de bases russas publicadas caiu, enquanto a intensidade dos ataques se manteve, nas suas próprias palavras, num nível sem precedentes.
Há uma segunda explicação, sem relação com os atacantes, surgida na cobertura russa do relatório e que convém ter presente. O volume de dados que sai segue o volume de dados que se recolhe. Um país onde serviços públicos, banca, telemedicina, entregas e partilha de automóveis são todos digitais e de uso generalizado guarda simplesmente mais registos pessoais do que um onde esses serviços são mais escassos, e há mais a perder em todas as direções.
O que fazer com um número destes
Vale a pena
- Verificar os seus endereços num serviço de pesquisa de fugas, e repetir de vez em quando em vez de o fazer uma só vez.
- Mudar qualquer palavra-passe reutilizada, a começar pelo email e pelo banco: é exatamente para isso que servem as linhas divulgadas.
- Ligar a autenticação em dois passos onde existir, preferindo uma aplicação ou uma chave física ao SMS.
- Considerar definitivo um número de passaporte que apareça numa fuga. Ao contrário de uma palavra-passe não se muda, resta vigiar tentativas de uso.
Não vale a pena
- Ler um número de linhas como um número de pessoas, ou somar totais de relatórios diferentes.
- Assumir que um país com números baixos é mais seguro. Talvez tenha apenas menos serviços digitais ou menos gente a contar.
- Esperar que aqui sirva uma VPN. Os dados saem do servidor de uma empresa, não da sua ligação.
- Assustar-se com uma fuga anterior às palavras-passe que usa hoje. As linhas antigas pesam pouco quando as credenciais lá dentro já estão mortas.
Ao ponto da VPN cabe uma frase e nada mais, porque a tentação de o esticar é evidente. Um túnel protege o tráfego em trânsito e esconde em que rede está. Contra uma base que está no servidor de uma empresa e já contém o seu nome não faz nada, e qualquer serviço que sugira o contrário está a vender-lhe alguma coisa.
A leitura útil
Em sentido estrito, o relatório diz que as bases russas dominaram as publicações públicas durante dezoito meses entre as regiões estudadas, e que a Ásia Central contribuiu com uma fatia desproporcionada do volume bruto a partir de poucos incidentes. Em sentido amplo, lembra que o tamanho de uma fuga é decidido por quanto se recolheu antes. Cada serviço que pede a digitalização do passaporte para verificar uma conta acrescenta linhas ao futuro total de alguém, e é sobre isso que vale a pena discutir enquanto ainda é uma decisão de desenho e não uma notícia.
