Um vazamento de CPF não cria um único problema e, por isso, também não existe um único botão capaz de neutralizar todos os usos indevidos. Em 2026, a resposta mais útil é separar prevenção de detecção: algumas ferramentas conseguem impedir contratações específicas antes que aconteçam; outras servem para descobrir relacionamentos, linhas ou operações que já apareceram em seu nome.
A diferença ficou mais importante depois do lançamento do BC Protege+, em dezembro de 2025. O serviço do Banco Central acrescentou uma barreira preventiva para determinados tipos de conta. Já o Registrato continua sendo uma ferramenta de consulta, e o Cadastro Pré-Pago continua ajudando a localizar linhas móveis pré-pagas vinculadas ao CPF. Eles se complementam, mas não são equivalentes.
A regra prática: bloquear onde existe bloqueio e monitorar o restante
Se o seu CPF ou outros dados pessoais foram expostos, o primeiro raciocínio é identificar qual risco cada ferramenta cobre. O BC Protege+ atua antes de certas novas contratações no sistema financeiro. O Registrato olha para registros financeiros já informados ao Banco Central. O Cadastro Pré-Pago mostra em quais prestadoras existem linhas pré-pagas ativas associadas ao CPF consultado.
Isso evita duas falsas sensações de segurança. A primeira é acreditar que ativar o BC Protege+ "congela" o CPF para qualquer fraude. Não congela. A segunda é tratar uma consulta limpa no Registrato ou no Cadastro Pré-Pago como prova de que nada poderá acontecer depois. Essas consultas são fotografias de bases específicas e devem ser repetidas quando houver motivo para acompanhar um incidente.
BC Protege+: o que ele realmente bloqueia
O BC Protege+ é gratuito e permite registrar, no Meu BC, que você não deseja abrir determinadas novas contas nem ser incluído como titular ou representante em contas abrangidas pelo serviço. O Banco Central informa que a proteção alcança a abertura de conta corrente, conta de poupança e conta de pagamento pré-paga, além da inclusão como titular ou representante nessas contas.
Na prática, antes de concluir uma contratação desse tipo, a instituição deve consultar a opção registrada para o CPF ou CNPJ. Se a proteção estiver ativa, a contratação abrangida não pode prosseguir. O acesso do cidadão exige conta gov.br de nível prata ou ouro com verificação em duas etapas habilitada.
O serviço foi lançado em 1º de dezembro de 2025. Em 20 de fevereiro de 2026, o Banco Central informou que o BC Protege+ havia alcançado 1 milhão de ativações. O crescimento rápido ajuda a explicar por que ele passou a ser uma providência relevante em casos de exposição de identidade.
O que o BC Protege+ não deve ser confundido com O próprio Banco Central delimita o alcance do serviço às contratações cobertas. Portanto, ele não substitui o acompanhamento de outros produtos e registros financeiros. Uma fraude que envolva uma conta já existente, uma operação de crédito registrada por outro caminho ou outro uso do CPF precisa ser percebida e tratada por mecanismos próprios.
Também não há efeito retroativo para "apagar" um relacionamento que já tenha sido aberto. Se uma conta desconhecida já aparece vinculada ao seu CPF, a providência deixa de ser apenas preventiva: é necessário identificar a instituição, contestar o relacionamento e pedir correção ou encerramento pelos canais oficiais.
E se eu precisar abrir uma conta legítima?
A proteção pode ser desativada pelo próprio usuário. O Banco Central permite desativá-la por tempo indeterminado ou escolher uma data para reativação automática. Isso permite liberar uma contratação legítima e depois voltar à condição de proteção, sem abandonar o mecanismo definitivamente.
O BC Protege+ ainda registra consultas feitas pelas instituições. Esse histórico pode ajudar a perceber tentativas de contratação, mas uma consulta isolada não prova fraude. Ela precisa ser interpretada no contexto: se você não iniciou nenhuma abertura de conta e uma instituição desconhecida consultou seus dados, vale verificar o motivo diretamente com a instituição.
Registrato: ele detecta, não impede
O Registrato é a ferramenta do Banco Central para consultar relatórios sobre informações financeiras associadas ao seu CPF ou à sua empresa. Para o problema de identidade exposta, um dos relatórios mais úteis é o de Contas e Relacionamentos, conhecido como CCS.
O CCS mostra em quais bancos e instituições você tem conta, investimento ou outro relacionamento e informa as datas de início e, quando houver, de fim do relacionamento. Ele não exibe saldo, movimentação, número de agência ou número de conta. Isso é suficiente, porém, para encontrar uma instituição que você não reconhece e iniciar uma contestação.
O Banco Central afirma expressamente que o relatório pode servir para verificar se o CPF ou CNPJ foi usado indevidamente na abertura de conta fraudulenta. Se aparecer um relacionamento que você não conhece, a orientação é contatar a instituição responsável. É ela que poderá esclarecer a origem do cadastro e corrigir ou encerrar o vínculo quando houver irregularidade.
Por que uma consulta única não basta
O Registrato não é um alarme em tempo real. Cada relatório tem seu próprio prazo de atualização. No caso do CCS, o Banco Central informa atualização diária, mas admite atraso de até dois dias úteis nas informações exibidas.
Esse detalhe muda a forma de usar a ferramenta após um vazamento. Uma consulta feita logo depois de receber um aviso de incidente cria uma linha de base. Se o risco continuar ou surgirem mensagens, cobranças ou contatos estranhos, vale consultar novamente depois. A ausência de um relacionamento desconhecido hoje não impede que uma tentativa apareça mais tarde.
O Registrato também oferece outros relatórios, como os de operações de crédito e de chaves Pix. Eles podem ser úteis quando o indício de fraude não é uma conta nova, mas um empréstimo desconhecido ou uma chave vinculada a uma instituição que você não reconhece. O objetivo, de novo, é detectar e então agir junto à instituição correspondente.
Cadastro Pré-Pago: um detector para linhas móveis em seu CPF
O Cadastro Pré-Pago atende a outro risco: uma linha de celular pré-paga ativada indevidamente com seus dados. O portal mantido pelas prestadoras no projeto acompanhado pela Anatel permite verificar em quais operadoras existem linhas pré-pagas ativas vinculadas ao CPF consultado.
Por razões de privacidade, o resultado não mostra o número do telefone nem a quantidade de linhas. Ele aponta a prestadora. Se surgir uma operadora com a qual você não tem relação, a orientação da Anatel é entrar em contato com essa prestadora e, sendo o caso, solicitar o cancelamento ou a desvinculação da linha.
Isso significa que o Cadastro Pré-Pago não bloqueia previamente uma ativação pelo simples fato de você ter feito uma consulta. Ele funciona como mecanismo de detecção. A própria Anatel reforçou os procedimentos de ativação de chips pré-pagos, com validações cadastrais mais rigorosas, mas a consulta continua útil para descobrir um vínculo que passou por esses controles ou que tenha origem anterior.
Um quarto bloqueio útil: impedir participação indevida em CNPJ
Quem está lidando com um CPF exposto também pode reduzir um risco que não aparece no BC Protege+: a inclusão indesejada do CPF em empresas e outras pessoas jurídicas. A Receita Federal oferece, pela Redesim, o serviço de impedir ou permitir a participação do CPF no CNPJ.
Quando o impedimento está ativo, a finalidade é evitar que o CPF seja incluído indevidamente em quadros de pessoas jurídicas. O serviço é gratuito e pode ser revertido quando o titular realmente desejar participar de um CNPJ. Ele não substitui o BC Protege+, porque protege outro tipo de vínculo.
A combinação faz sentido justamente por causa da fragmentação dos riscos. O BC Protege+ cobre determinadas novas contas. A proteção da Redesim cobre participação em CNPJ. Registrato e Cadastro Pré-Pago ajudam a procurar sinais em bases específicas. Nenhum deles, isoladamente, resolve toda a exposição de identidade.
Se aparecer algo que você não reconhece, a ação muda de monitoramento para contestação
Encontrar um relacionamento estranho no Registrato ou uma prestadora inesperada no Cadastro Pré-Pago não é o fim do diagnóstico; é o começo da correção. Em um vínculo financeiro desconhecido, contate a instituição pelo canal oficial, informe que não reconhece a contratação e peça protocolo. Em uma linha pré-paga indevida, procure a operadora indicada pelo portal e solicite o cancelamento ou a desvinculação.
Se houver prejuízo financeiro, contratação fraudulenta, uso de identidade ou outro possível crime, a orientação oficial também inclui registrar a ocorrência perante a autoridade policial competente. A ANPD deixa claro que ela fiscaliza infrações administrativas relacionadas à proteção de dados; não substitui a investigação criminal de fraude.
Guardar protocolos, mensagens, comprovantes de contestação e respostas das instituições é importante porque esses registros ajudam a demonstrar quando você tomou ciência do problema e quais providências tentou adotar.
Vazamento confirmado: quando procurar o controlador e a ANPD
Há uma diferença entre descobrir uma tentativa de fraude e saber qual organização sofreu um incidente de segurança. Se uma empresa ou órgão informou que seus dados foram expostos, essa organização é o ponto inicial para pedir esclarecimentos sobre quais dados foram afetados, quando o incidente foi identificado, quais riscos foram avaliados e quais medidas de mitigação foram adotadas.
A ANPD orienta que o exercício de direitos do titular seja solicitado primeiro ao controlador dos dados. Se o pedido não for atendido ou a resposta for insatisfatória, o titular pode apresentar uma petição à Agência
e deve conservar prova do contato anterior, como número de protocolo, e-mails e mensagens.
Para incidentes que possam causar risco ou dano relevante aos titulares, a obrigação de comunicar o incidente à ANPD e aos titulares é do controlador. A regra atual prevê prazo de três dias úteis para essa comunicação, ressalvada eventual legislação específica. O formulário de Comunicação de Incidente de Segurança é destinado aos controladores; o cidadão usa os canais de denúncia ou petição de titular apropriados.
Se você apenas suspeita que os dados "devem ter vazado" porque recebeu uma tentativa de golpe, não presuma automaticamente qual empresa foi responsável. A própria ANPD ressalta que tentativa de fraude e incidente de segurança não são a mesma coisa. Quando houver um controlador identificável, pergunte diretamente se ocorreu exposição e quais dados foram atingidos.
Se senha, e-mail ou acesso à conta também vazaram, trate isso como outro problema
CPF exposto é uma coisa; credencial exposta é outra. Se o incidente incluiu senha, código de recuperação, e-mail com acesso comprometido ou outro segredo de autenticação, a resposta precisa incluir troca de senha onde ela foi reutilizada, revisão de acessos e ativação de verificação em duas etapas.
A cartilha oficial sobre vazamento de dados também recomenda acompanhar contas, cartões e registros financeiros e desconfiar do aumento de phishing, ligações e mensagens convincentes depois de um incidente. Dados verdadeiros sobre você podem ser usados para tornar um golpe mais persuasivo, mesmo quando o criminoso não conseguiu abrir uma conta ou linha em seu nome.
Uma sequência prática para as primeiras horas e os dias seguintes
Logo após saber da exposição, faz sentido ativar as barreiras preventivas que se aplicam ao seu caso, especialmente o BC Protege+ para novas contas abrangidas e a proteção de participação em CNPJ da Redesim. Em seguida, consulte o Registrato e o Cadastro Pré-Pago para estabelecer uma linha de base do que já aparece vinculado ao seu CPF.
Se as consultas estiverem normais, o trabalho passa a ser acompanhamento. Repita as verificações quando surgirem novos sinais, respeitando o fato de que algumas bases têm atraso de atualização. Se aparecer algo estranho, pare de apenas monitorar e conteste diretamente com a instituição ou operadora responsável.
Quando houver incidente confirmado por uma organização, peça informações ao controlador e guarde os protocolos. Se seus direitos não forem atendidos, use o canal adequado da ANPD. Se houver fraude, prejuízo ou uso criminoso de identidade, procure também a autoridade policial.
A ideia central é simples: depois de um vazamento, proteção real vem de combinar bloqueios específicos com monitoramento direcionado. O BC Protege+ reduz um tipo importante de risco antes da contratação; o Registrato e o Cadastro Pré-Pago ajudam a enxergar vínculos que precisam ser investigados; e os canais do controlador, da ANPD, das instituições e da polícia entram quando o problema deixa de ser apenas potencial e passa a ter um fato concreto para corrigir.
