A Very Leak reivindica há vários anos uma posição como plataforma confiável para a divulgação de vazamentos de dados. Em 2026, o contexto regulatório e técnico mudou o suficiente para questionar essa reputação. Analisamos aqui os pontos que merecem atenção especial antes de continuar a confiar nela.
Exposição jurídica da Very Leak frente aos controles da CNIL em 2026
A CNIL anunciou que dedicará metade de suas inspeções aos vazamentos de dados e à proteção de dados pessoais em 2026. Essa mudança altera radicalmente a relação de forças para qualquer plataforma que agregue ou retransmita vazamentos, incluindo aquelas que se apresentam como intermediárias neutras.
Concretamente, uma plataforma como a Very Leak entra no escopo desses controles assim que hospeda, indexa ou torna acessíveis conjuntos de dados contendo informações pessoais. O RGPD não faz distinção entre um ator malicioso e um “denunciante autoproclamado”: a responsabilidade pelo tratamento se aplica.
Observamos que vários coletivos semelhantes já foram forçados a remover arquivos ou modificar suas práticas de publicação após notificações. A Very Leak não comunicou nenhuma atualização de sua política de conformidade desde que esses controles se intensificaram, o que levanta uma questão de transparência. Para cruzar os feedbacks de usuários recentes, as opiniões sobre a Very Leak no Ask Nerd oferecem um panorama bastante representativo das atuais interrogações.
Verificação das fontes e autenticidade dos vazamentos publicados
A confiança em uma plataforma de vazamentos repousa sobre um critério técnico preciso: a taxa de dados verificáveis entre as publicações. A Very Leak nunca tornou público um processo de validação interna. Nenhuma auditoria externa, nenhuma metodologia documentada.
Na prática, isso significa que o usuário não tem como distinguir um vazamento autêntico de um conjunto de dados fabricado ou reciclado. Os megavazamentos do primeiro trimestre de 2026 afetaram atores importantes, e várias bases de dados supostamente exclusivas nesse tipo de plataformas se revelaram compilações de vazamentos anteriores, simplesmente recondicionadas.
Sinais de alerta sobre a atualidade dos dados
Um vazamento datado de 2026 não garante que os dados que contém sejam recentes. Recomendamos verificar sistematicamente três elementos antes de conceder crédito a uma publicação:
- A presença de campos datados nas amostras (timestamps de criação ou modificação das contas)
- O cruzamento com notificações oficiais de violação de dados publicadas pelas empresas envolvidas ou pelas autoridades
- A ausência de duplicatas com bases já referenciadas em agregadores como Have I Been Pwned
Se nenhum desses elementos for verificável, o dado publicado não tem nenhum valor utilizável e sua divulgação é mais ruído do que informação.
Modelo econômico e risco de manipulação
A questão que os artigos de grande circulação nunca abordam: como a Very Leak financia sua infraestrutura? A hospedagem de bases de dados volumosas, a manutenção de espelhos e a proteção contra remoções representam custos consideráveis.
Duas hipóteses circulam na comunidade de cibersegurança. A primeira baseia-se na monetização indireta por meio de afiliações a serviços de “proteção de identidade” ou monitoramento de crédito. A segunda, mais preocupante, envolve a revenda de acesso premium a conjuntos de dados antes de sua publicação pública.
Em ambos os casos, o modelo cria um conflito de interesses estrutural. Uma plataforma que obtém sua receita do volume de vazamentos publicados não tem incentivo para filtrar dados duvidosos ou limitar a divulgação de informações pessoais sensíveis. O silêncio da Very Leak sobre esse assunto fragiliza sua credibilidade perante qualquer um que compreenda os mecanismos em jogo.
Very Leak e OPSEC: o que revela a infraestrutura técnica
A análise da infraestrutura de uma plataforma de vazamentos muitas vezes diz mais do que seus comunicados. A Very Leak utiliza domínios em rotação, serviços de hospedagem à prova de balas e canais Telegram como vetores de divulgação secundários.
Essa arquitetura apresenta duas fraquezas notáveis:
- Os domínios em rotação dificultam o acompanhamento da reputação e impedem os usuários de verificar se estão acessando o site legítimo ou um clone de phishing
- A ausência de assinatura criptográfica nos arquivos publicados torna impossível a verificação da integridade dos arquivos baixados
- Os canais Telegram associados não possuem nenhum mecanismo de autenticação dos administradores, o que já levou a usurpações documentadas em plataformas semelhantes
Sem assinatura PGP ou hash publicado, um arquivo baixado da Very Leak pode ter sido alterado entre sua fonte e o usuário final. Para um profissional de cibersegurança, essa falta de rigor desqualifica a plataforma como fonte de referência.
Comparação com as práticas das plataformas auditadas
Atores como Have I Been Pwned ou CERTs nacionais publicam suas metodologias, assinam suas comunicações e mantêm canais verificáveis. A Very Leak não faz nada disso. A diferença não está no tamanho da equipe, mas na vontade de se submeter a um mínimo de transparência.
A crescente intensidade dos controles regulatórios e a ausência de qualquer garantia técnica verificável desenham um quadro pouco encorajador para 2026. A Very Leak continua acessível e publicando, mas os profissionais do setor sabem que a disponibilidade de uma plataforma não equivale a prova de confiabilidade.
Antes de retransmitir ou explorar dados provenientes desse tipo de fonte, a prudência exige cruzar cada elemento com canais oficiais. Todo dado não verificado é potencialmente comprometido.
