Uninter: 7,34 TB de dados de alunos à venda na dark web — e a falha é a número 1 do OWASP

Resumo: um grupo criminoso anunciou à venda 7,34 TB de documentos supostamente extraídos dos sistemas da Uninter (Centro Universitário Internacional, instituição brasileira de ensino superior com foco em educação a distância). A amostra analisada por jornalistas contém CPF, documentos de identidade, diplomas, históricos escolares e certidões de casamento — arquivos organizados, nomeados em português e sem nenhuma criptografia. Os criminosos falam em 2 milhões de pessoas expostas; a instituição não confirma os números e diz que investiga. A causa alegada é uma falha de controle de acesso — a primeira colocada do ranking OWASP Top 10 e a mais comum em aplicações web. Se o volume se confirmar, o caso entra entre os maiores vazamentos já registrados no Brasil.

Introdução

A Uninter é uma das maiores instituições de ensino superior do Brasil — e uma das maiores do mundo quando o assunto é educação a distância. Fundada em 1996, em Curitiba, no Paraná, soma cerca de 729 mil alunos entre graduação e pós-graduação.

Em 22 de outubro de 2026, o portal TecMundo, do Estadão, publicou que um grupo criminoso colocou à venda 7,34 TB de dados atribuídos à instituição, anunciados em um fórum ilegal. Os responsáveis pelo anúncio, que se identificam pelo apelido Kazu, afirmam que pelo menos dois milhões de usuários podem ter sido expostos.

A reportagem não se limitou ao anúncio: teve acesso a uma amostra pública do material, publicada em um chat do Telegram, e analisou o conteúdo. A amostra tem 1,91 GB no total — 1,2 GB quando compactada — organizada em 13 pastas e 2.491 arquivos pessoais. Tudo nomeado em português, em JPEG, JPG, PDF e PNG, sem qualquer camada de criptografia ou proteção.

É importante separar o que é fato do que é alegação. O material existe e foi verificado; o volume total de 7,34 TB e o número de 2 milhões de pessoas são afirmações dos criminosos, que o TecMundo não conseguiu validar de forma independente — os próprios autores do anúncio só apresentaram uma imagem representando o conjunto completo e a contagem de arquivos por pasta.

O que a amostra continha

O material analisado parece ser o registro de comprovação documental que as instituições de ensino costumam exigir em processos de matrícula — um retrato, portanto, do que um candidato ou aluno envia à faculdade ao longo de sua vida acadêmica.

Dois detalhes técnicos ajudam a explicar por que o volume total pode ser tão grande. O primeiro é que os arquivos mantêm seus metadados embutidos — informações que registram data, eventualmente local e o aparelho usado para fotografar ou digitalizar o documento. O segundo é que o material não passou por pós-processamento, como compactação individual de cada arquivo. Um conjunto de fotos de documentos, sem compressão, ocupa muito mais espaço do que a mesma quantidade de dados estruturados em uma tabela.

Um indício de que o anúncio não é apenas blefe: os criminosos enviaram provas de que 110 GB já foram vazados em um fórum ilegal — cerca de 1,50% do total que dizem ter.

A falha alegada: controle de acesso comprometido

Questionados pela reportagem, os criminosos deram sua versão sobre como entraram. Segundo eles, a origem dos dados é o Portal do Candidato, um subdomínio da Uninter, e a porta de entrada teria sido uma falha de Controle de Acesso Comprometido (Broken Access Control, em inglês).

Essa é uma falha de conceito simples e consequências graves: acontece quando o sistema não verifica direito o que cada usuário pode fazer ou acessar. O exemplo mais didático é o IDOR (Referência Direta e Insegura a um Objeto, na sigla em inglês). Imagine um sistema em que o endereço do seu perfil termina com o seu número de usuário:

https://sistemainseguro.com/perfil/user-1

Se o sistema apenas consulta o banco usando o número que aparece no link — sem checar se aquele número pertence a quem está pedindo —, basta trocar o final da URL para ler o perfil de outra pessoa:

https://sistemainseguro.com/perfil/user-2

Nenhuma senha quebrada, nenhum exploit sofisticado: só a ausência de uma verificação. Em um portal de candidatos, onde cada pessoa envia documentos ao longo de meses, esse tipo de falha permite baixar arquivo por arquivo, em volume, sem disparar alarme.

E não é um problema periférico. O Controle de Acesso Comprometido ocupa o primeiro lugar do ranking OWASP Top 10, a lista das dez falhas mais críticas em aplicações web mantida pela OWASP (Open Worldwide Application Security Project, fundação que mantém referências de segurança para desenvolvedores). É a categoria que aparece com mais frequência em sistemas reais segundo a própria fundação.

Uma captura enviada à reportagem mostra uma mensagem de erro no sistema interno da Uninter, o que sugere que o caminho usado pelos invasores já foi fechado. Como sempre nesse tipo de caso, a correção não desfaz o que já foi copiado.

O que a Uninter diz

A instituição enviou ao TecMundo um posicionamento oficial, reproduzido na íntegra pela reportagem. Vale ler com atenção, porque ele delimita exatamente o que está confirmado:

"O Grupo Uninter tomou conhecimento, no início de outubro, de alegações feitas por um grupo criminoso sobre a obtenção de documentos associados à instituição. Assim que identificou o caso, acionou seu protocolo de resposta a incidentes e, com o apoio de especialistas em segurança da informação, adotou medidas de contenção e de reforço dos controles.

A instituição comunicou o caso às autoridades competentes e a apuração segue em andamento e é conduzida de forma confidencial, razão pela qual não serão divulgados detalhes técnicos neste momento.

Os números divulgados pelo grupo criminoso, como volume de dados e quantidade de arquivos, não foram confirmados pela instituição e não correspondem, necessariamente, ao número de pessoas afetadas. Esse dimensionamento é objeto da investigação.

A Uninter repudia a ação criminosa e não negocia nem atende a qualquer tipo de exigência de extorsão. A proteção dos dados de estudantes, candidatos e colaboradores é prioridade para a instituição."

Três informações úteis saem daí. A primeira: a Uninter sabia do caso desde o início de outubro, antes da publicação da reportagem. A segunda: não há negociação com os criminosos, o que significa que o risco de vazamento em massa não desaparece com o tempo. A terceira: a própria instituição alerta que volume de dados não é sinônimo de número de pessoas — 7,34 TB de arquivos podem representar muitas imagens por indivíduo, e não 7 milhões de titulares distintos.

Onde esse caso se encaixa no Brasil

Vale colocar o número alegado em perspectiva. A lista abaixo reúne volumes anunciados por criminosos em incidentes anteriores no Brasil — ou seja, trata-se do mesmo tipo de alegação, não de números auditados.

Se os 7,34 TB se confirmarem, o volume bruto seria o maior já anunciado em um incidente brasileiro — mais que o dobro do caso do governo federal, de 2022. Em quantidade de arquivos, a projeção dos criminosos é de cerca de 7,67 milhões de documentos. Para armazenar tudo isso seriam necessários aproximadamente 30 iPhones de 256 GB.

O que isso não significa: que 2 milhões de pessoas tiveram 7,34 TB de dados vazados cada uma. Um único candidato pode ter enviado dezenas de fotos de documentos, cada uma com vários megabytes. Volume é evidência da capacidade de extração dos invasores, não do número de vítimas.

Dados comuns e dados sensíveis: o que muda na Justiça

Um ponto prático que quase nunca aparece na cobertura desses casos: não todo vazamento dá direito a indenização automática no Brasil. E a diferença está no tipo de dado exposto.

O STJ (Superior Tribunal de Justiça) firmou, em março de 2023, no julgamento do AREsp 2.130.619/SP — um caso envolvendo a distribuidora de energia Enel São Paulo — que a mera exposição de dados cadastrais não gera dano moral presumido. Para ser indenizado, o titular precisaria comprovar algum prejuízo concreto. Esse entendimento vale para dados comuns: documentos de identificação, CPF, telefones e e-mails.

Já em fevereiro de 2025, a Terceira Turma do STJ decidiu, no REsp 2.121.904/SP, que o vazamento de dados sensíveis pode gerar dano moral presumido, com responsabilidade objetiva da empresa afetada — ou seja, sem necessidade de provar a falha, apenas o dano. A LGPD considera sensíveis: origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, dados de saúde ou vida sexual, e dados genéticos ou biométricos.

Por que a distinção importa aqui: o conteúdo divulgado da Uninter é formado, na sua esmagadora maioria, por dados comuns — CPF, identidade, histórico escolar, diploma. É material gravíssimo para fraude (abrir conta, pedir empréstimo, falsificar diploma), mas o caminho jurídico individual tende a exigir a comprovação de um prejuízo concreto. Independentemente disso, a instituição segue obrigada pela LGPD a comunicar o incidente à ANPD (Autoridade Nacional de Proteção de Dados) e aos titulares afetados quando houver risco relevante.

Como se proteger se o seu nome aparece na lista

A recomendação central é combinar monitoramento ativo com desconfiança sistemática — porque o maior risco depois de um vazamento não é o dado em si, é o golpe construído com ele.

Fique de olho no seu CPF. Consulte periodicamente o Registrato do Banco Central, que mostra relacionamentos bancários, contas e empréstimos ligados ao seu CPF, e os serviços de proteção ao crédito, que avisam sobre consultas e registros de inadimplência. Contas ou dívidas que você não reconhece devem ser contestadas formalmente junto à instituição responsável, e registradas como fraude.

Trate qualquer contato inesperado como suspeito por padrão. Com CPF, nome completo, data de nascimento e histórico escolar em mãos, um criminoso consegue montar mensagens extremamente convincentes — sobre mensalidade em atraso, pendência acadêmica, emissão de diploma ou atualização cadastral. O fato de a mensagem vir com dados verdadeiros não prova que ela é legítima. Nunca forneça senhas, códigos de verificação ou dados bancários por telefone, SMS, WhatsApp ou e-mail.

Confirme sempre pelos canais oficiais. Se receber qualquer comunicação sobre a instituição, acesse diretamente o site ou aplicativo oficial — digitando o endereço no navegador, não clicando em links recebidos. O mesmo vale para bancos: entre no aplicativo pelo seu próprio acesso, nunca por um link enviado.

Fortaleça o e-mail como prioridade. A conta de e-mail é a chave-mestra: quem controla o seu e-mail consegue redefinir a senha de quase todo o resto. Use uma senha longa e exclusiva e ative a verificação em duas etapas. Depois replique o hábito nas demais contas, priorizando banco, governo, redes sociais e a instituição de ensino.

Pense duas vezes antes de mandar documentos. A amostra vazada é, essencialmente, uma coleção de fotos de documentos enviadas ao longo de anos. Antes de enviar uma foto do seu RG, do CPF ou de um comprovante, confirme quem vai receber, para que finalidade e como o arquivo será guardado. Só envie por canais oficiais e, quando possível, marque o documento com a finalidade do envio.

Guarde as evidências. Se você sofrer uma tentativa de golpe ou identificar uma conta aberta no seu nome, salve prints, mensagens e protocolos. É esse material que sustenta uma reclamação administrativa ou uma ação judicial — e é exatamente o que o entendimento do STJ sobre dados comuns exige.

Conclusão

O caso da Uninter tem tudo para virar referência no Brasil, e não só pelo volume. Ele reúne as três lições que o país ainda está aprendendo sobre vazamentos de dados.

A primeira é sobre onde o risco costuma estar. Não foi um ataque sofisticado contra um servidor blindado: segundo a versão dos criminosos, foi uma falha de verificação de acesso em uma página da web — a categoria nº 1 do OWASP Top 10 há vários ciclos. A defesa contra esse tipo de falha não é um firewall caro, é disciplina de desenvolvimento: cada requisição precisa confirmar que quem pede tem direito ao que pede.

A segunda é sobre o que fazer com as alegações dos criminosos. Existe um número verdadeiro e verificável — a amostra de 2.491 arquivos e os 110 GB já vazados — e existe um número de marketing — os 7,34 TB e os 2 milhões de vítimas. Tratar os dois como a mesma coisa distorce a percepção pública e atrapalha a resposta.

A terceira é sobre o que os dados permitem fazer depois. CPF, identidade, histórico escolar e diploma são exatamente a matéria-prima de fraude de crédito e de falsificação de formação acadêmica. O vazamento não termina quando a instituição corrige a falha; ele começa de novo a cada golpe que alguém monta com esse material.

Para quem administra sistemas com dados pessoais, o recado é direto: revise suas verificações de autorização antes de revisar qualquer outra coisa. Para quem teve dados expostos, o recado também é direto: monitore o CPF, desconfie de contato inesperado e confirme tudo pelo canal oficial.

Perguntas frequentes

Fontes e leituras adicionais

• Estadão / TecMundo — Uninter investiga possível vazamento de 7,34 TB de dados em ataque hacker — 22/10/2026
• OWASP — OWASP Top 10: Broken Access Control — 2021 (última edição)
• STJ — AREsp 2.130.619/SP: exposição de dados cadastrais não gera dano moral presumido — mar/2023
• STJ — REsp 2.121.904/SP: vazamento de dados sensíveis e dano moral presumido — fev/2025
• ANPD — Comunicação de Incidente de Segurança — 2026
• Banco Central — Registrato: consulte relacionamentos e empréstimos no seu CPF — 2026