A Polícia Civil do Distrito Federal (PCDF) deflagrou nesta quinta-feira (30 de julho de 2026) a Operação Dark Spot, que resultou na prisão de quatro suspeitos de integrar organização criminosa especializada na comercialização ilegal de dados sigilosos de autoridades públicas e de milhões de brasileiros. A Justiça determinou o bloqueio de até R$ 2 milhões em ativos financeiros e criptoativos dos investigados.
Como funcionava a plataforma
Segundo a Delegacia Especial de Repressão aos Crimes Cibernéticos (DRCC), o grupo mantinha uma plataforma digital profissional que comercializava consultas a bancos de dados protegidos por sigilo legal. O catálogo incluía informações da Receita Federal, da Carteira Nacional de Habilitação (CNH), registros de veículos, processos judiciais e sistemas corporativos de órgãos de segurança pública.
Os acessos eram vendidos por meio de créditos pré-pagos, adquiridos via PIX ou criptomoedas, e divulgados por uma rede de revendedores em redes sociais e aplicativos de mensagens. Durante a investigação, policiais realizaram consultas de teste e obtiveram dados válidos de altas autoridades públicas do Distrito Federal, o que, conforme a PCDF, evidenciou o risco à privacidade de milhões de cidadãos.
Entre maio de 2023 e junho de 2024, a plataforma registrou mais de 18 milhões de consultas, originadas de mais de 257 mil endereços de IP, com 45.134 cadastros e 7.242 usuários ativos.
Movimentação financeira e capacidade de faturamento
A análise financeira identificou movimentação superior a R$ 450 mil, sem origem lícita comprovada, entre dezembro de 2024 e março de 2025. Com base na contabilidade apreendida, a PCDF estima que a organização tinha potencial para arrecadar mais de R$ 1 milhão por mês.
Os recursos eram recebidos em criptomoedas, passavam por contas de terceiros e eram utilizados na aquisição de bens registrados em nome de familiares.
Capacidade de reorganização
As investigações apontam que a organização conseguia retomar as atividades poucas horas após operações policiais anteriores. Os criminosos migravam rapidamente a plataforma para novos servidores, substituíam integrantes presos e recriavam o sistema praticamente idêntico ao anterior.
Foram cumpridos quatro mandados de prisão (três preventivos e um temporário) e seis mandados de busca e apreensão em cidades do Rio Grande do Sul (Três Passos e Gravataí), São Paulo (Bragança Paulista) e Rio de Janeiro (Casimiro de Abreu e Rio das Ostras).
Os investigados poderão responder pelos crimes de invasão qualificada de dispositivo informático, receptação qualificada, organização criminosa e lavagem de dinheiro. As penas máximas somadas podem chegar a 46 anos e 4 meses de reclusão. As apurações continuam para identificar outros integrantes, fornecedores de credenciais de acesso e a rede de revendedores.
Contexto e a proteção de dados
A comercialização ilegal de dados pessoais e de informações protegidas por sigilo legal ilustra os riscos enfrentados por cidadãos e autoridades em um cenário de crimes cibernéticos em expansão. A Lei Geral de Proteção de Dados Pessoais (LGPD – Lei nº 13.709/2018) estabelece princípios, direitos dos titulares e obrigações para o tratamento de dados pessoais, com o objetivo de proteger a privacidade e a autodeterminação informativa. A Autoridade Nacional de Proteção de Dados (ANPD) é o órgão responsável pela fiscalização e aplicação de sanções administrativas em casos de descumprimento.
Fontes principais:
Informações oficiais da Polícia Civil do Distrito Federal (PCDF) e Delegacia Especial de Repressão aos Crimes Cibernéticos (DRCC), conforme reportagens publicadas em 30 de julho de 2026 por Metrópoles, G1 e CNN Brasil.
