Grupo Buddha alega roubo de dados da ANCINE com números inflados e não verificados

O caso tem quatro camadas que a cobertura tende a embaralhar, e separá-las é o trabalho central. O que o ATOR alega: primeiro (junho) um backup legado de 2019 com 248 milhões de CPFs e ~1,08 bilhão de registros; depois (julho), após a negação oficial, que teria extraído 279 milhões de linhas 'diretamente do sistema ativo do governo' em 2026, afirmando que esses dados seriam atuais e não reciclados. O que a VÍTIMA admite: a ANCINE confirma ataque cibernético a um banco de dados legado com registros de 2019, contendo dados cadastrais básicos de pessoas físicas e informações públicas de pessoas jurídicas, e sustenta que nenhum dado sob sigilo fiscal foi comprometido e que os sistemas em uso corrente permaneceram íntegros. O que o outro órgão citado afirma: a Receita Federal nega comprometimento dos seus sistemas, atribui o episódio a um servidor da ANCINE e esclarece que o acesso da ANCINE ao CPF via convênio é pontual, CPF a CPF, sem réplica integral da base.

O número não fecha, e essa é a evidência mais dura contra a narrativa do ator. Os 279 milhões superam a população brasileira estimada pelo IBGE em ~213,4 milhões (nov/2025). Um conjunto de indivíduos vivos e únicos não pode exceder a população; o excedente só se explica por duplicatas, falecidos, estrangeiros com CPF e lixo de base — exatamente o perfil de uma base cadastral acumulada ao longo de décadas. O próprio anúncio entrega a fragilidade ao admitir 144.376 CPFs com dígito verificador inválido e registros com datas de nascimento impossíveis (século 12). Esses artefatos são assinatura de dump antigo e mal higienizado, não de uma extração limpa de sistema em produção.

A cronologia da alegação é reveladora. O salto de 248 milhões (junho, 'backup de 2019') para 279 milhões ('sistema ativo 2026', julho) ocorre depois de a RFB rotular a primeira versão como 'fake news'. A elevação do volume e a mudança de discurso — de 'dados de 2019' para 'dados atuais' — coincidem com a necessidade do vendedor de revalorizar o produto após o desmentido oficial. Some-se a isso a precificação escalonada (base 2019 a US$ 1.300; suposta base 2026 a US$ 10.000): a diferença de preço serve à narrativa de que existiria um conjunto 'novo' e mais valioso, sem que qualquer fonte independente tenha confirmado a existência dessa segunda base.

É a mesma linhagem, requentada. Buddha aparece em três episódios de 2026 sobre bases massivas de brasileiros: MORGUE (abril, 251.720.444 registros, US$ 500, atribuída ao Gov.br); a oferta de junho (248 milhões de CPFs / ~1,08 bilhão de registros, US$ 1.300, atribuída à Receita); e agora a alegação de julho (279 milhões). Em todos, o volume supera a população viva e é justificado pela inclusão de falecidos — o que reforça a leitura de base cadastral histórica reembalada. No caso MORGUE, especialistas citados na imprensa já levantaram a hipótese de operação de marketing do cibercrime, com bases antigas reorganizadas sob nova identidade.

Há um ponto em que a apuração independente merece peso e não pode ser descartado. O TecMundo, ao analisar a amostra de junho, relatou que CPFs e CNPJs passaram em validações oficiais e que as tabelas de referência eram compatíveis com padrões da Receita Federal (UF, situações cadastrais, naturezas jurídicas, portes, países). Isso indica que os dados são autênticos — ou seja, correspondem a pessoas e empresas reais e seguem estruturas oficiais — mas autenticidade do conteúdo não equivale a prova de exfiltração recente de sistema em produção. Dados autênticos de 2019 continuam autênticos; a validação de dígito verificador não data o vazamento nem identifica a fonte.

Sobre a nossa própria análise interna, cabe uma correção de rigor: o registro dizia que 'o próprio anúncio entrega a fragilidade' como se o ator reconhecesse tratar-se de base antiga. Na verdade, o ator faz o oposto — insiste que os 279 milhões seriam extração nova do sistema ativo. Quem estabelece a origem em 2019 são as fontes oficiais (ANCINE e RFB), não o criminoso. As inconsistências técnicas (dígitos inválidos, datas impossíveis) aparecem no anúncio, mas o ator as usa para atacar a 'gestão de dados da Receita', não para admitir que a base é velha. A distinção importa porque muda quem sustenta o quê.

O que a evidência sustenta, no fim: houve um incidente real de segurança em infraestrutura da ANCINE, sobre base legada de 2019, oficialmente reconhecido e notificado a CTIR.Gov e ANPD. O que a evidência não sustenta: que 279 milhões de registros íntegros e atuais tenham sido extraídos do sistema em produção da Receita Federal em

2026. A distância entre os 279 milhões alegados e qualquer volume confirmado permanece inteiramente não verificada por fonte independente ou oficial.

Afetados: titulares de dados cadastrais presentes na base legada de 2019 da ANCINE — cadastro de pessoas físicas com dados básicos e informações públicas de pessoas jurídicas, segundo a própria agência. A ANCINE afirma que dados sob sigilo fiscal não foram comprometidos e que sistemas em uso corrente permaneceram íntegros. Na prática, ainda que a origem seja base antiga, os campos envolvidos (CPF, nome, nome da mãe, data de nascimento, endereço, telefone, e-mail) formam o 'kit básico' de engenharia social e fraude de identidade — abertura de contas, contratação de crédito e golpes personalizados por telefone/e-mail. O volume real de titulares afetados não foi confirmado por nenhuma fonte oficial; o número de 279 milhões é alegação do ator e é logicamente incompatível com a população brasileira.