Recebemos um e-mail de lembrete de um site que não reconhecemos, clicamos sem pensar e, três dias depois, uma conta bancária está comprometida. Esse cenário, banal em 2026, ilustra o quanto a proteção de dados pessoais não se limita mais apenas às configurações de privacidade de um navegador. O RGPD ainda regula a coleta e o tratamento de informações pelas empresas, mas as ameaças do lado do usuário mudaram de natureza.
Infostealers e phishing avançado: os verdadeiros riscos para seus dados em 2026
Os concorrentes detalham longamente o funcionamento do RGPD ou as obrigações das empresas. Vamos começar pelo outro lado: o que ameaça concretamente um internauta quando ele liga seu computador pela manhã.
O relatório ENISA Threat Landscape 2026, publicado em 15 de setembro de 2026, identifica o phishing como a principal técnica de engenharia social observada nos incidentes analisados em 2025. Os kits de phishing “as-a-service” se multiplicaram, permitindo que atacantes sem habilidades técnicas montem campanhas credíveis em poucas horas.
A outra ameaça crescente são os infostealers. Esses malwares não se contentam mais em roubar uma senha. De acordo com o mesmo relatório da ENISA, eles agora extraem identificadores, dados de navegação, tokens de autenticação multifator (MFA) e cookies de sessão. Concretamente, mesmo com uma senha forte e a autenticação em duas etapas ativada, um dispositivo infectado pode comprometer todas as suas contas.
Publicamos um dossiê complementar sobre dados pessoais no dubraz.com via Blognet News que detalha as obrigações dos sites em relação à coleta e ao consentimento.
O que isso muda no dia a dia: a atualização do sistema operacional e dos aplicativos não é um conselho genérico, é a primeira linha de defesa contra os infostealers. O uso de um gerenciador de senhas também limita a exposição, pois não digitamos mais nossos identificadores em um formulário potencialmente comprometido.
Controles da CNIL em 2026: recrutamento, algoritmos e o que isso implica para os usuários
Fala-se frequentemente da CNIL como um policial distante que sanciona as grandes plataformas. Em 2026, suas temáticas prioritárias de controle tocam setores que dizem respeito diretamente aos indivíduos em sua vida cotidiana.
Entre os eixos escolhidos este ano estão, entre outros, o recrutamento e o registro eleitoral único. Na prática, isso significa que a CNIL verifica como os empregadores coletam e armazenam os dados dos candidatos, e como os arquivos eleitorais são geridos em nível algorítmico.
Para um internauta que se candidata online, a consequência é direta: pode-se perguntar a um recrutador quais dados ele mantém, com base em qual fundamento legal e por quanto tempo. O direito de acesso e o direito ao apagamento previstos pelo RGPD também se aplicam aos currículos enviados a uma plataforma de recrutamento há três anos.
Exercer seu direito de acesso sem esperar uma violação
A maioria dos internautas descobre seus direitos após um incidente. Podemos agir antecipadamente. Todo organismo que trata dados pessoais deve responder a um pedido de acesso dentro de um prazo estipulado pelo RGPD.
Algumas situações em que essa abordagem tem um impacto concreto:
- Verificar quais informações um ex-empregador ou uma agência de empregos ainda mantém em seus arquivos, vários anos após o término de um contrato.
- Pedir a um site de e-commerce a lista completa de dados associados à sua conta, incluindo o histórico de navegação e as preferências publicitárias.
- Exigir a exclusão de dados em uma plataforma de anúncios classificados onde você não está mais ativo há muito tempo.
Se o organismo não responder ou recusar sem um motivo válido, a CNIL pode ser acionada diretamente por meio de seu formulário de reclamação online.
Consentimento para cookies e rastreadores: o que realmente mudou
Clicamos em “Aceitar tudo” por reflexo. O problema é que esse gesto muitas vezes autoriza dezenas de rastreadores publicitários a coletar dados de navegação, localização e perfil de compra.
A política de privacidade de um site deve detalhar a finalidade de cada tratamento e a base legal utilizada (consentimento, interesse legítimo, execução de um contrato). Na prática, os retornos variam nesse ponto: alguns sites exibem banners conformes, mas redirecionam para políticas de privacidade redigidas em uma linguagem de difícil compreensão.
Recusar cookies não essenciais nunca deve ser mais complicado do que aceitar. Esse é um princípio que a CNIL lembra regularmente. Se um site impõe mais cliques para recusar do que para aceitar, ele pode estar em infração.
Três reflexos para limitar o rastreamento no dia a dia
- Configurar o navegador para excluir automaticamente os cookies ao fechar, o que neutraliza a maioria dos rastreadores persistentes sem bloquear a navegação atual.
- Desconectar as sessões abertas em serviços sensíveis (banco, e-mail, saúde) após cada uso, especialmente em um dispositivo compartilhado. Essa é a defesa mais direta contra o roubo de cookies de sessão por um infostealer.
- Usar endereços de e-mail distintos para serviços críticos e inscrições em newsletters ou promoções, a fim de compartimentar os riscos em caso de violação.
Autenticação multifator: proteção útil, mas não infalível
Recomenda-se em todos os lugares ativar a autenticação em duas etapas, e esse é um bom reflexo. A autenticação multifator bloqueia a grande maioria das tentativas de acesso não autorizado por senha roubada.
O relatório ENISA 2026 traz uma nuance técnica: os ataques chamados Adversary-in-the-Middle são capazes de desviar tokens de sessão em tempo real, contornando assim a proteção MFA. Esse tipo de ataque ainda é mais sofisticado do que o phishing clássico, mas está se democratizando por meio dos mesmos kits “as-a-service”.
A MFA continua sendo necessária, mas não substitui a vigilância sobre os links recebidos por e-mail ou SMS. Um link de phishing que redireciona para um proxy malicioso pode capturar o token MFA no momento em que o usuário se autentica legitimamente.
A melhor complementação à autenticação em duas etapas continua sendo a combinação de um gerenciador de senhas (que se recusa a preencher um formulário em um domínio desconhecido) e um sistema operacional atualizado (que limita a instalação de infostealers). Nenhuma medida isolada é suficiente: é a sobreposição de camadas de proteção que realmente reduz o risco de comprometimento de seus dados pessoais.
