A Caixa Vida,  Previdência e Tesouro Nacional confirmaram, em 12 de novembro, incidentes que expuseram dados pessoais de milhões de brasileiros. Os ataques hackers ocorreram no início do mês e envolveram nomes, CPFs, e-mails, telefones e chaves Pix. Por isso, os casos ampliaram o alerta sobre a segurança de instituições financeiras e órgãos públicos.

Acesso indevido atinge a Caixa Vida e Previdência

Invasores copiaram dados cadastrais de clientes

O caso de maior alcance envolveu a Caixa Vida e Previdência, empresa da Caixa Seguridade. A companhia detectou, em 6 de novembro, um acesso não autorizado aos seus sistemas. Em comunicado enviado à CVM, informou que os invasores copiaram dados cadastrais para fora de seu ambiente tecnológico.

A base envolvida reúne cerca de 7,6 milhões de clientes ativos. O conjunto também incluiu registros de antigos clientes. Entre os dados expostos estão nomes e CPFs. Em parte dos cadastros, o acesso alcançou endereços, telefones, e-mails e datas de nascimento.

Apesar da dimensão do incidente, a companhia não encontrou sinais de comprometimento financeiro ou de autenticação. A Caixa Seguridade declarou: “Com base na apuração preliminar, não há indícios de comprometimento de dados financeiros ou de autenticação”. Conforme a empresa, valores de apólices, saldos de previdência, dados bancários e senhas permaneceram fora do alcance dos invasores. Assim, não há indicação de acesso direto aos saldos ou de movimentação dos recursos dos clientes.

As operações e o atendimento continuaram normalmente durante a resposta ao incidente. Logo após detectar o acesso, a companhia bloqueou os mecanismos usados pelos invasores e adotou proteções adicionais. Depois, iniciou uma investigação técnica com o apoio de uma consultoria especializada em perícia digital. Enquanto isso, passou a monitorar a internet em busca de eventual divulgação ou comercialização dos dados.

Em 11 de novembro, a empresa comunicou o caso à ANPD, a outras autoridades e aos titulares afetados. Paralelamente, começou a contatar clientes para alertá-los sobre golpes e fraudes. Até o comunicado, a companhia não havia identificado o uso das informações em operações financeiras fraudulentas.

Tesouro Nacional confirma invasão no portal de serviços

Incidente alcançou cadastros e chaves Pix

Na mesma data do comunicado da Caixa, a Secretaria do Tesouro Nacional confirmou uma invasão detectada em 4 de novembro. Os invasores acessaram dados de aproximadamente 30 mil cadastros do portal e-Serviços. A plataforma permite que cidadãos solicitem e acompanhem serviços oferecidos pelo órgão. Entre as informações comprometidas estavam nomes completos, CPFs e endereços de e-mail.

O acesso também alcançou uma base interna com cerca de 4 mil chaves Pix de beneficiários de pagamentos federais. Além das chaves, os invasores visualizaram informações relacionadas aos pagamentos destinados a esses usuários. Ao todo, o incidente envolveu aproximadamente 34 mil cadastros e chaves Pix. No entanto, esse total não representa necessariamente a mesma quantidade de pessoas diferentes.

Apesar do acesso indevido, o Tesouro não identificou perdas para os cofres públicos. O incidente também não afetou os sistemas estruturantes do órgão. Em resposta, a secretaria reforçou o monitoramento da rede e implementou medidas extras de proteção. Da mesma forma, comunicou o caso à ANPD e ao Centro de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos de Governo.

Paralelamente, uma investigação técnica busca determinar a origem e o alcance da invasão. Segundo o Tesouro, os dados podem tornar tentativas de fraude mais convincentes. Nesse sentido, criminosos podem se passar por instituições públicas ou financeiras e enviar mensagens personalizadas. Ainda assim, não há indicação de acesso a contas bancárias ou de transferências realizadas com as chaves expostas.

Informações expostas aumentam o risco de golpes

Instituições alertam para tentativas de engenharia social

Uma chave Pix funciona como identificador para o recebimento de pagamentos. Isoladamente, ela não permite movimentar recursos de uma conta bancária. Por esse motivo, o Tesouro recomendou atenção a contatos que solicitem dados pessoais, senhas ou pagamentos. Quem tiver dúvidas pode procurar o encarregado de dados pessoais do Ministério da Fazenda pela plataforma Fala.BR.

Embora os incidentes tenham ocorrido em datas próximas, nenhuma informação relaciona as duas invasões. Tampouco existem evidências públicas da atuação do mesmo grupo criminoso. No caso da Caixa, o ataque atingiu a Caixa Vida e Previdência. Portanto, não há indicação de comprometimento dos sistemas centrais da Caixa Econômica Federal.

Ainda que não tenham causado furto direto de recursos, os vazamentos elevam o risco de engenharia social. Golpistas podem usar informações verdadeiras para conquistar a confiança das vítimas. Por exemplo, clientes da Caixa podem receber falsas comunicações relacionadas a planos de previdência. Já os dados do Tesouro podem embasar fraudes sobre pagamentos ou serviços públicos.

Em paralelo, o diretor de Fiscalização do Banco Central, Ailton de Aquino Santos, manifestou preocupação com o risco cibernético durante um evento em São Paulo. Conforme declarações reproduzidas pela imprensa, ataques digitais podem gerar perdas capazes de comprometer operações financeiras. Ele também relatou ter determinado a liquidação de uma instituição após perdas expressivas causadas por um incidente cibernético.

A LGPD exige medidas de segurança e a comunicação de incidentes relevantes à ANPD e aos titulares. Como regra, a regulamentação prevê o prazo de três dias úteis após o controlador confirmar que dados pessoais sofreram impacto, ressalvadas as exceções legais. Até os comunicados, nenhuma das instituições havia identificado os responsáveis ou apresentado evidências de fraudes financeiras. Mesmo assim, ambas mantêm investigações e medidas de monitoramento para reduzir os riscos aos titulares.

	Receba nossas últimas notícias em primeira mão.   Adicione-nos como sua fonte preferida no Google    e toque em “Favorito” para priorizar nossas atualizações.