O que podem fazer com o meu CPF? Riscos e como se proteger

Com o CPF, por si só, ninguém abre conta nem pega empréstimo. Mas o número diz mais do que parece, é pedido em quase tudo e quase nunca viaja sozinho: vai junto com a foto do RG ou da CNH, a data de nascimento e o endereço. É esse pacote que vale a pena cuidar.

Não é o caso de parar de informar o CPF. É saber o que ele revela, quem precisa dele de verdade e o que você pode conferir se desconfiar que alguém usou o seu. Se o que anda circulando é a foto do documento, veja o que fazer com a foto do RG, frente e verso.

O CPF virou o número que identifica você

O CPF nasceu como cadastro de contribuinte da Receita Federal, mas hoje é o número de identificação do cidadão. A Lei 14.534/2023 (art. 1º) o estabeleceu como “número único e suficiente” para identificar a pessoa nos bancos de dados de serviços públicos, e mandou que ele conste na certidão de nascimento, no título de eleitor, na CTPS, na CNH e em outros documentos (art. 1º, § 1º). Os documentos novos ou reemitidos passam a usar o CPF como número (§ 2º).

Na Carteira de Identidade Nacional, o CPF é o registro geral: o Decreto 10.977/2022 (art. 3º) diz isso com todas as letras. Na prática, quem tem o seu CPF tem também o número do seu documento novo. Como cada número da carteira funciona, você vê em números do RG e da CIN.

E o CPF vai continuar sendo pedido. A mesma Lei 14.534 (art. 5º, que altera a Lei 13.460/2017) diz que, nos serviços públicos, o CPF basta para identificar a pessoa e é vedado exigir outro número para esse fim. Para o balcão do órgão público, o CPF resolve. Quando alguém pede mais do que isso, vale perguntar para quê.

O CPF aparece também na carteira de motorista, e a foto da CNH leva ainda mais: veja como ocultar os dados da CNH.

O que o CPF revela, e o que ele não revela

O número do CPF não tem a sua data de nascimento nem o seu nome escondidos dentro dele: são nove números de base e dois dígitos verificadores. O que ele faz é abrir consultas. A consulta pública da Receita Federal pede o CPF e a data de nascimento e devolve o Comprovante de Situação Cadastral no CPF. A própria página avisa que o comprovante não mostra a situação econômica, financeira ou fiscal da pessoa.

Ou seja, o par CPF e data de nascimento já é uma chave para consultar a situação do seu cadastro, e os dois estão juntos na frente da CIN, da CNH e do RG. É a dupla que mais vale a pena separar quando o documento não exige os dois.

O CPF mascarado do Pix: o que ainda aparece

Quem faz um Pix vê o CPF do recebedor com asteriscos. Isso não é capricho de cada banco: o Manual Operacional do DICT (versão 8.5, do Banco Central, nos fluxos de consulta da seção 8) diz que o CPF deve ser mostrado no formato *.111.111-, trocando os números do começo e do fim por asteriscos.

Sobram seis números do meio, e eles continuam sendo dado pessoal. Um comprovante de Pix que você posta ou manda a quem não precisa leva o seu nome, o trecho do CPF e, se for o caso, a sua chave. O Nonimo reconhece esse formato e troca os números do meio por um marcador:

ANTES
Comprovante de Pix
Nome: Nuria Solé Domènech
CPF: ***.000.001-**
Chave Pix: cliente@example.com

DEPOIS
Comprovante de Pix
Nome: [PESSOA_1]
CPF: ***.[CPF_1]-**
Chave Pix: [E-MAIL_1]

Os dados do exemplo são inventados.

O que fazem com o CPF: golpes e fraudes

CPF, data de nascimento e endereço, juntos, são a matéria-prima da fraude de identidade. O que se tenta com eles:

• Abrir conta ou pedir crédito em nome de outra pessoa, principalmente em aplicativos, onde o cadastro é à distância.
• Fazer compras e contratar serviços com os dados de quem nem sabe.
• Aplicar golpes de cobrança: a pessoa recebe uma mensagem com o nome e o CPF corretos para parecer legítima e pressiona por um pagamento.
• Usar o documento como se fosse o dono. O Código Penal pune quem se atribui falsa identidade para obter vantagem (art. 307) e quem usa documento de identidade alheia (art. 308). Quando a vítima é levada a fornecer informações por redes sociais, telefone ou e-mail fraudulento, o art. 171, § 2º-A, prevê reclusão de 4 a 8 anos, na redação dada pela Lei 14.155/2021.

Para a maior parte dessas tentativas, o CPF sozinho não basta. O que faz diferença é uma foto legível do documento junto com ele, e por isso vale ler o que acontece com a foto do seu RG. A mensagem que chega com o seu nome, o seu CPF e um prazo curto também deve acender o alerta: para conferir a sua situação, digite você mesmo o endereço da Receita Federal no navegador, em vez de clicar em link.

Se o pedido do seu CPF chegou por mensagem, leia antes o golpe do documento pelo WhatsApp.

Como conferir se usaram o seu CPF

O Banco Central oferece duas ferramentas de verdade, ambas com conta gov.br nível prata ou ouro e verificação em duas etapas.

O relatório de contas e relacionamentos. O serviço se chama “Emitir Relatório de Contas e Relacionamentos em Bancos” (o CCS) e é pedido no Meu BC. Ele mostra em quais bancos e instituições financeiras você tem ou teve conta, investimento ou outro vínculo, com data de início e de fim. A página do serviço diz que ele serve para verificar se o seu CPF foi usado indevidamente para abrir conta. Não mostra agência, conta, saldo nem movimentação. Pedido online sai na hora.

O bloqueio preventivo. O BC Protege+ funciona ao contrário: em vez de descobrir depois, você avisa antes. Ligada a proteção, as instituições não podem abrir conta em seu nome nem incluir você como titular ou representante em conta de outra pessoa até você desligar. Você liga e desliga no Meu BC, e o serviço mostra também o histórico de ativações e de consultas.

Se aparecer uma conta que você não abriu, avise a instituição, registre um boletim de ocorrência e guarde tudo. O passo a passo para quando o que sumiu é o documento está em perdi ou roubaram meu RG.

Na escritura, o CPF das partes entra na qualificação: veja IA em cartórios.

O que mandar e o que não mandar

A LGPD (Lei 13.709/2018, art. 6º, III) pede que quem coleta dados limite a coleta ao mínimo necessário para a finalidade. Não é uma regra contra o CPF, e sim contra o excesso: quem precisa do número para emitir uma nota fiscal não precisa da foto do seu RG.

• Nota fiscal ou cadastro de loja: o número do CPF, só.
• Admissão em emprego: o empregador vai pedir mais documentos, e é justo; mande o que a vaga exige e pergunte o que ele faz com as cópias.
• Locação: a imobiliária costuma pedir CPF, documento e comprovante de renda. Mande a quem você já conhece e ponha marca d’água em cada cópia, dizendo para quê ela serve.
• Quem você não conhece e pede o CPF e a foto do documento antes de qualquer encontro: não envie.

Se o documento pedido for o passaporte, veja ocultar dados do passaporte.

Se for a CRNM, o antigo RNE, o roteiro está em marca d’água na CRNM.

Se o CPF vai parar em um PDF que você precisa entregar, dá para tarjar o PDF e entregar sem os dados.

Antes de colar o CPF em um chat de IA

Cada vez mais gente pede ao ChatGPT, ao Claude ou ao Copilot ajuda para preencher um formulário, revisar um contrato de aluguel ou escrever um requerimento. É útil, mas o que você cola vai para o histórico da conversa, e a IA não precisa do seu número verdadeiro para ajudar: entende igual um texto que diz [CPF]. O que mais vale tirar antes de colar está em que dados ocultar antes de usar a IA.

Para isso existe o Nonimo, um app para Mac e Windows que trabalha no seu computador, antes de o texto chegar ao chat. Ele troca por marcadores o CPF, os nomes e e-mails, o telefone com +55 e, quando vêm com rótulo, a data de nascimento e o endereço. Você manda o texto com os marcadores, a IA responde sobre eles e os seus dados não saem do seu computador.

A lei por trás de tudo isso é a LGPD; o básico está em o que é a LGPD.