Dark Web Price Index 2026: quanto custam, de fato, os dados roubados
Uma Visa clonada com o PIN incluído era anunciada por cerca de 20 dólares nos mercados da dark web, enquanto logins verificados de uma conta bancária europeia de grande porte eram oferecidos por mais de 4.000 dólares no mesmo índice de preços. Os dois números descrevem a mesma economia subterrânea e vêm com uma ressalva que pesa mais do que os valores: são preços de anúncio, coletados de listagens públicas, e não registros de negócios fechados.
Como se constrói um índice de preços de bens ilegais
O Privacy Affairs publica seu Dark Web Price Index desde 2020, vasculhando mercados, fóruns e sites para calcular a média de preços de uma cesta de bens ilícitos; a edição de 2023 ainda é a referência citada por outros fornecedores do setor para esses patamares. A SOCRadar publicou um índice comparável em julho de 2026, a partir do seu próprio relatório anual sobre a dark web. O método é o mesmo: observar as listagens e registrar o que os vendedores pedem. Como o Privacy Affairs formulou:Coletamos dados varrendo marketplaces, fóruns e sites da dark web. Essas informações são então processadas para gerar um índice de preços médios de uma ampla gama de produtos específicos.O que esse método não consegue ver importa. Um anúncio coletado é um preço pedido; ele nada diz sobre descontos, sobre a frequência com que um anúncio realmente se vende nem sobre qual parte dos dados ainda funciona. O índice é um termômetro, não um livro-caixa: lê a temperatura de oferta e demanda sem medir o volume de negociações. Pelo mesmo motivo, a SOCRadar apresenta seus números de 2026 como faixas — os preços variam com a frescura dos dados, a completude e a reputação do vendedor.
O que os dados roubados custavam nos anúncios
- Dados de cartões: dados de cartão com saldo de até 5.000 dólares figuravam a 110 dólares nas tabelas de 2023 do Privacy Affairs, abaixo dos 120 dólares de um ano antes, com cartões clonados incluindo o PIN a 20 dólares. O índice 2026 da SOCRadar coloca cartões dos EUA com CVV entre 5 e 50 dólares e cartões de saldo alto em torno de 110–120 dólares, em queda desde o pico próximo de 240 dólares em 2020–2021.
- Logins bancários: logins simples com saldos modestos custavam 40–60 dólares; os maiores preços ficavam com contas verificadas com KYC completo — acessos do ING a 4.255 dólares, uma conta empresarial do HSBC no Reino Unido a 4.200 dólares, internet banking suíço a 2.200 dólares. A faixa de 2026: 200–500 dólares para logins de saldo baixo e 1.000 dólares ou mais para saldos altos.
- Documentos de identidade: scans de identidades, passaportes e carteiras de motorista custam 30–60 dólares em 2026; as tabelas de 2023 do Privacy Affairs mostravam scan de passaporte dos EUA a 50 dólares, de passaporte russo a 80 dólares e uma selfie segurando documento a 110 dólares, enquanto passaports físicos falsificados da UE ficavam entre 3.000 e 4.000 dólares.
- Contas hackeadas: Gmail a 60 dólares, Facebook e Instagram a 25 dólares e Twitter a 20 dólares em 2023; contas sociais giram em torno de 20–50 dólares em 2026. Contas verificadas em exchanges de cripto ficam acima — uma conta Kraken verificada era pedida a 1.170 dólares em 2023, com faixas de 2026 de 100 a mais de 1.000 dólares.
- Stealer logs e ferramentas: malware stealer parte de 15 dólares, logs avulsos vendem-se por 5–50 dólares e painéis de phishing adversary-in-the-middle alugam-se por 120–350 dólares ao mês. Um log com menos de 48 horas pode custar várias vezes mais que um antigo, porque os cookies de sessão ainda funcionam.
- Acesso corporativo: corretores de acesso inicial anunciam posições a partir de poucos milhares de dólares, e acesso de administrador de domínio ou nuvem a grandes empresas chega a seis dígitos — o nível atacadista de onde compram os grupos de ransomware.
O que move os preços
- Oferta: vazamentos de dados representam 64,06% da atividade da dark web nas medições de 2026 da SOCRadar. Anos de violações e infostealers em escala industrial mantêm o piso barato — registros pessoais a 1–4 dólares, números de Social Security a 1–6 dólares.
- Pressão de KYC: tudo que exige verificação de identidade concluída é negociado com ágio. O anúncio do ING a 4.255 dólares é uma conta verificada, não uma credencial simples; quanto mais rígidas as plataformas, mais escassas — e caras — ficam as contas verificadas.
- Controles bancários e região: cartões dos EUA são os mais baratos porque os EUA inundam o mercado; cartões de países com menos oferta e detecção de fraude mais rigorosa custam mais.
- Frescura e MFA: dados recentes, válidos e completos vendem-se melhor que dados velhos, e acesso confirmado para burlar a autenticação multifator leva um ágio — o nicho que as assinaturas de phishing AiTM monetizam.