Passaportes, vistos e registros de viagem deixaram de ser apenas instrumentos de mobilidade. Hoje, são credenciais altamente monetizadas no mercado clandestino global — com impactos diretos para aviação, bancos e governos
Passaporte, visto, cartão de embarque, reservas e programas de milhagem parecem itens burocráticos da rotina de quem viaja. Para o cibercrime, no entanto, esses documentos representam ativos de alto valor, amplamente negociados na dark web, integrando cadeias sofisticadas de fraude transnacional.
Um estudo conduzido pela NordVPN em parceria com a Saily ajuda a revelar como esse mercado funciona, por que ele é tão lucrativo e, sobretudo, por que plataformas digitais — inclusive altamente reguladas — continuam sendo exploradas sem perceber. O problema não é apenas tecnológico, mas estrutural: documentos de viagem se tornaram o elo mais poderoso (e vulnerável) dos ecossistemas modernos de identidade digital.
Como os documentos de viagem são roubados?
O roubo ocorre por meio de múltiplas estratégias combinadas, muitas delas silenciosas e persistentes. Info-stealers vasculham notebooks, smartphones e contas em nuvem em busca de cópias de passaportes, vistos e reservas. Plataformas de companhias aéreas, agências de viagem e serviços de visto concentram grandes volumes de documentos enviados por usuários, tornando-se alvos recorrentes de ataques e vazamentos.
Há ainda o uso de sites falsos de check-in, solicitação de visto ou promoções, altamente contextualizados, que induzem vítimas a enviar documentos legítimos. Links de nuvem mal configurados, com permissões públicas, são descobertos por criminosos por meio de buscas avançadas — um vetor frequentemente subestimado. Em paralelo, o roubo físico continua relevante: passaportes perdidos, cartões de embarque descartados e documentos esquecidos seguem alimentando esse mercado.
Uma vez obtidos, os documentos raramente são vendidos de forma isolada. Eles são combinados em pacotes conhecidos como fullz, que reúnem nome completo, número de passaporte, dados de contato, histórico de viagens e, muitas vezes, informações financeiras.
Por que documentos de viagem têm tanto valor?
A principal razão é a baixa exigência de verificação em muitas plataformas online. Um scan limpo de passaporte ou identidade, acompanhado de uma selfie, muitas vezes basta para passar por sistemas de verificação de sites de viagens, serviços financeiros ou portais de reserva.
Cibercriminosos combinam documentos roubados com tecnologia avançada, como deepfakes, para imitar rostos das vítimas. Essa combinação permite acesso a contas fraudulentas, reservas de viagens e até aluguel de propriedades em nome de terceiros, multiplicando o impacto do roubo.
Esses pacotes permitem burlar verificações de identidade em plataformas digitais, criar perfis falsos altamente convincentes, utilizar deepfakes e face swap para atravessar autenticações biométricas, além de abrir contas, alugar imóveis, solicitar crédito ou até viajar em nome da vítima.
No mercado clandestino, documentos escaneados podem custar a partir de US$ 10, enquanto passaportes verificáveis — especialmente europeus — alcançam milhares de dólares, dependendo da origem, validade e “reputação” do documento.
Qual é o valor dos documentos de viagem na dark web?
Documentos de viagem têm alto valor de revenda na dark web. Passaportes, carteiras de identidade, vistos e até contas de programas de fidelidade são itens altamente procurados por cibercriminosos, e os preços variam de acordo com a qualidade, o país de origem e a demanda. Dados recentes da plataforma de gerenciamento de exposição a ameaças NordStellar revelam a variedade de itens disponíveis e seus valores aproximados.
1. Passaportes e documentos escaneados
Imagens de passaportes podem ser vendidas por $10 a $200 dólares, dependendo da qualidade do conteúdo. Identidades escaneadas geralmente são vendidas por cerca de $15. Essas imagens são suficientes para que criminosos consigam burlar verificações simples em serviços online.
2. Documentos totalmente verificáveis
Passaportes legítimos, carteiras de motorista, documentos de identidade e vistos têm preços muito mais altos: entre $20 e $1.800 dólares, com variação de país para país. Passaportes da União Europeia estão entre os mais caros, custando aproximadamente €5.500 (~$5.830), com pacotes familiares oferecendo 25% de desconto para membros adicionais. O estudo da NordVPN sobre a dark web indica que passaportes argentinos são os mais baratos, enquanto passaportes tchecos, eslovacos e lituanos estão entre os mais caros.
3. Vistos de trabalho e cartas de recomendação
Embora nem sempre haja preços públicos, esses documentos são considerados de alto valor, pois permitem fraudes de longo prazo, como imigração irregular e abertura de contas bancárias.
4. Contas de programas de fidelidade roubadas
Contas de companhias aéreas com saldo elevado de milhas são vendidas por $35 a $700 dólares, dependendo do número de milhas. Contas com 1 a 5 milhões de milhas, como da Alaska Airlines, podem alcançar $700. Hackers também usam essas contas para reservar voos de classe executiva com milhas roubadas, muitas vezes pagando apenas uma fração do preço real.
5. Manuais de fraude
Guias detalhados para hackear sistemas de reservas de passagens e hotéis — conhecidos como Flight & Hotel Cracking & Booking Manuals — podem ser vendidos entre $150 e $250 dólares, fornecendo instruções passo a passo para ataques automatizados.
6. Adesivos de passaportes e vistos
Selos de passaportes da União Europeia são vendidos na dark web por €300 (~$350), com serviço opcional de envio rastreável por mais €100 (~$115). Esses adesivos podem ser usados para criar documentos falsos ou adulterados.
7. Serviços de vistos fraudulentos
Alguns comerciantes oferecem emissão de vistos falsos por €400 (~$464), permitindo que compradores burlar processos legítimos de verificação.
8. Reservas de hospedagem com descontos
Hackers revendem reservas de hotéis, por exemplo em plataformas como Booking.com, aplicando descontos de 40% a 50%, cobrando taxas de cerca de $250 por venda.
Por que roubo de documentos de viagem merecem atenção especial?
A seguir, apresentamos as principais conclusões estruturadas em perguntas e respostas, com base no estudo e na análise do ecossistema de identidade digital. Trata-se, evidentemente, de respostas simplificadas, que não esgotam o tema, mas que podem servir como um guia inicial para que o leitor se aprofunde no estudo e nas discussões técnicas que ele propõe.
Porque funcionam como credenciais de identidade premium, reconhecidas internacionalmente por companhias aéreas, bancos, seguradoras, plataformas digitais e governos. Uma única credencial permite atravessar múltiplos ecossistemas, reduzindo fricção e ampliando a escala da fraude.
2. O que torna essas credenciais mais valiosas do que cartões ou senhas?
Seu longo ciclo de vida, processos lentos de revogação e a presunção institucional de autenticidade. Além disso, a verificação costuma ocorrer fora de tempo real, criando janelas ideais para reutilização criminosa antes de qualquer sinalização.
3. Como esses documentos são roubados em escala industrial?
Por cadeias integradas de ataque que combinam info-stealers, vazamentos em plataformas de viagem, phishing altamente contextualizado, exploração de links de nuvem expostos e roubo físico. Em muitos casos, a vítima jamais percebe que houve exfiltração dos dados.
4. O que são fullz e por que ampliam o impacto da fraude?
São pacotes completos de identidade que permitem fraudes personalizadas, reduzem alertas de risco e aumentam drasticamente a taxa de aprovação em processos de verificação, viabilizando reutilização sistêmica.
5. Por que os modelos tradicionais de KYC falham nesse cenário?
Porque foram desenhados para interações pontuais e baixo grau de sofisticação criminal. Dependem de imagens estáticas, selfies e liveness detection frágil, ignorando deepfakes, reutilização de identidade e ataques distribuídos.
6. Qual é o impacto direto para bancos e companhias aéreas?
O impacto vai além da fraude individual. Trata-se de fraude cruzada e sistêmica, em que a mesma identidade comprometida é explorada simultaneamente em reservas, programas de milhagem, onboarding bancário e serviços públicos, gerando perdas financeiras, sanções regulatórias e erosão de confiança.
7. Onde a regulação falha ao ser implementada pelas plataformas?
Não na definição de princípios, mas na operacionalização. LGPD, eIDAS, NIST e ISO exigem segurança e governança, mas muitas organizações traduzem isso apenas em checklists de compliance, sem arquiteturas de identidade contínuas e baseadas em risco.
8. Por que identidades verificáveis representam uma ruptura real?
Porque substituem o paradigma da cópia pelo da prova criptográfica. Em vez de armazenar documentos, plataformas verificam afirmações assinadas digitalmente, em tempo real e com escopo limitado, reduzindo superfícies de ataque.
9. Qual é o papel estratégico das credenciais governamentais?
Atuar como âncoras de confiança para ecossistemas privados, permitindo interoperabilidade internacional, redução drástica de fraude e maior alinhamento regulatório.
10. O que muda para a liderança executiva?
Identidade deixa de ser um tema operacional de TI e passa a ser uma decisão de estratégia corporativa, risco regulatório e continuidade de negócios. Quem não evoluir seguirá financiando, ainda que indiretamente, a economia global da fraude.
Em diferentes setores, a gestão de identidades evoluiu mais rápido do que as arquiteturas que a sustentam. Na aviação, companhias aéreas passaram a operar processos globais de verificação de identidade — como biometria em aeroportos, programas de milhagem e check-in digital — a partir de sistemas que não foram originalmente desenhados para esse papel em escala.
No setor financeiro, embora os processos de KYC estejam consolidados, muitos modelos permanecem focados no momento do onboarding, o que limita a capacidade de gerir identidade como um risco contínuo. Já no setor GovTech, documentos de viagem cumprem papel central de soberania, mas a ausência de identidades digitais interoperáveis dificulta a transferência segura de confiança entre Estado e setor privado.
Em todos os casos, o desafio não é documental, mas arquitetural: alinhar identidade digital à escala, à automação e à complexidade do mundo atual.
“A indústria de viagens permanece um alvo extremamente valioso para criminosos digitais, porque concentra um grande volume de dados pessoais e financeiros sensíveis”, afirma Marijus Briedis, CTO da NordVPN.
“Durante períodos de pico, como o Carnaval, Natal ou férias escolares, os golpes se intensificam. O consumidor precisa redobrar a atenção e reforçar a segurança digital, especialmente quando está fora da rotina.”
Como proteger seus documentos de viagem?
Viajar não é apenas sobre o destino; também envolve como você se prepara e protege seus dados. Especialmente em épocas de grande movimentação, como o Carnaval, quando aeroportos, hotéis e transportes públicos ficam mais cheios, a atenção redobra. Cibercriminosos aproveitam o aumento de turistas e distrações para roubar informações sensíveis. Seguir alguns passos simples pode dificultar muito a vida deles:
- Mantenha documentos e arquivos sensíveis em segurança
Armazene passaporte, identidade e outros documentos em cofres digitais privados e criptografados. Desative o compartilhamento público em serviços de nuvem para reduzir riscos. - Fique atento a tentativas de phishing
Verifique URLs antes de inserir dados pessoais. Sites de check-in, vistos ou companhias aéreas suspeitas podem ser golpes. Use verificadores de links confiáveis e consulte sempre fontes oficiais. Evite mensagens que pressionem você a agir rapidamente. - Proteja seus dispositivos
Instale antivírus confiável, atualize sistemas e aplicativos regularmente e bloqueie malwares que possam acessar seus arquivos sensíveis. - Use VPN em redes públicas
Ao se conectar em Wi-Fi de aeroportos, hotéis, cafés ou transportes, utilize uma VPN, como a NordVPN, para criptografar a conexão e proteger seu tráfego online. - Monitore contas e atividades suspeitas
Cheque e-mails, contas bancárias e relatórios financeiros com frequência. Qualquer comportamento estranho deve ser investigado imediatamente. - Registre a perda de documentos sem demora
Se perder passaporte, identidade ou outros documentos, notifique autoridades rapidamente para reduzir o risco de uso indevido.
Assuma o controle da sua segurança
Viajar deve ser sobre novas experiências, não sobre se preocupar com roubo de identidade. Cibercriminosos dependem de descuidos no armazenamento ou compartilhamento de informações sensíveis.
Comece hoje mesmo: proteja contas, use ferramentas de segurança digital e mantenha atenção a golpes, principalmente em períodos de grande fluxo, como o Carnaval. Ao adotar uma postura pró-ativa, você dificulta significativamente a ação de criminosos e mantém seus documentos e informações pessoais mais seguros.
Glossário essencial — Dark Web & Identidade (ordem alfabética)
ATO (Account Takeover): sequestro de contas legítimas por criminosos
Attack surface (Superfície de ataque): conjunto de pontos e vulnerabilidades exploráveis em um sistema
Burned doc: documento já comprometido, sinalizado ou amplamente reutilizado em fraudes
Clean docs: documentos legítimos, ainda não sinalizados por sistemas antifraude
Deepfake / Face swap: manipulação biométrica com uso de IA para simular rostos ou expressões
Fresh drop: dados recém-roubados, ainda não circulados amplamente
Fullz: pacote completo de dados de identidade de uma pessoa
Info-stealer: malware que coleta dados sensíveis de dispositivos e serviços em nuvem
KYC (Know Your Customer): processo regulatório de verificação de identidade
Liveness Detection: técnica biométrica usada para validar presença real e evitar fraudes
Minimização de dados: princípio de coletar e reter apenas o estritamente necessário
Root identity: identidade-base usada para escalar múltiplas fraudes
Smooth pass: aprovação sem fricção em processos de verificação
Verifiable Credentials: credenciais digitais criptograficamente verificáveis
Com fonte do estudo: O preço dos documentos roubados no mercado da dark web (e como se proteger) URL: https://nordvpn.com/pt-br/blog/mercado-de-documentos-de-viagem-roubados/
NordVPN lança verificador de links gratuito para proteger usuários
NordVPN aponta que passaportes são vendidos na dark web
Identidade Digital
Na era da computação quântica gestão de identidade deixa de ser um recurso técnico e passa a ser um ativo estratégico de governança. Leia mais sobre esse tema aqui!
Siga o Crypto ID no LinkedIn agora mesmo!
