Governo federal demora oito dias para avisar que hackers acessaram dados do Tesouro; na Caixa Vida e Previdência, vazamento atinge 7,6 milhões de clientes

Sede da Caixa Econômica Federal, em Brasília. Foto: Rafa Neddermeyer/Agência Brasil

Duas estruturas ligadas ao governo federal admitiram na quinta-feira (12) que tiveram dados pessoais copiados por invasores. A Secretaria do Tesouro Nacional, do Ministério da Fazenda, informou que detectou o acesso indevido em 4 de novembro e só tornou o caso público oito dias depois, à noite. A Caixa Seguridade comunicou ao mercado que um ataque em 6 de novembro expôs os dados dos 7,6 milhões de clientes ativos da Caixa Vida e Previdência, além de ex-clientes.

Tesouro: 30 mil cadastros e 4 mil chaves Pix

No Tesouro, segundo a Agência Brasil, foram atingidas duas bases. A primeira reúne cerca de 30 mil cadastros do portal e-Serviços, com nome, CPF e e-mail de quem pede ou acompanha serviços do órgão. A segunda é uma base interna de consultas que continha aproximadamente 4 mil chaves Pix de pessoas e empresas que recebem pagamentos do governo, junto com informações das transações.

Em nota, o Tesouro afirmou que o incidente não causou prejuízo financeiro nem comprometeu seus sistemas principais, que o acesso foi contido e que o monitoramento foi reforçado. Sobre o intervalo entre a descoberta e o aviso, disse que a comunicação pública ocorreu “após o período necessário” para confirmar o incidente, investigar e adotar medidas de contenção. O caso foi comunicado à Autoridade Nacional de Proteção de Dados (ANPD) e ao centro de resposta a incidentes cibernéticos do governo.

Caixa Vida e Previdência: todos os clientes ativos

Na subsidiária da Caixa Seguridade, o volume é muito maior. Foram copiados CPFs, endereços, telefones, e-mails e datas de nascimento de toda a base ativa, de 7,6 milhões de pessoas, e também de ex-clientes, cujo número não foi informado. O ataque ocorreu em 6 de novembro; a notificação à ANPD e aos titulares foi feita no dia 11, e o comunicado ao mercado, no dia 12. A empresa disse que os clientes estão sendo avisados, com orientações de proteção, e que criou um e-mail para tirar dúvidas.

O que a lei exige

A Lei Geral de Proteção de Dados obriga quem guarda as informações a avisar a ANPD e os titulares quando um incidente pode causar risco ou dano relevante. O regulamento da autoridade fixa prazo de três dias úteis, contados do momento em que o responsável toma conhecimento do problema. No caso do Tesouro, entre a detecção, numa quarta-feira, e o aviso público passaram seis dias úteis; o órgão não informou em que data notificou a ANPD. Nenhum dos dois comunicados aponta a origem do ataque nem diz se houve pedido de resgate.

Risco é o golpe sob medida

Senhas e saldos não aparecem na lista do que vazou. O perigo é outro: com nome, CPF, telefone, data de nascimento e a informação de que a pessoa tem previdência na Caixa ou recebe do governo, o golpista consegue montar uma abordagem convincente. O próprio Tesouro alertou que os dados podem ser usados para dar aparência legítima a mensagens e ligações.

• Desconfie de contato que cite seus dados e peça senha, código recebido por SMS ou pagamento para “liberar” valores.
• Banco e órgão público não pedem transferência nem Pix para regularizar cadastro.
• Não clique em link recebido por mensagem; entre no aplicativo ou digite o endereço do site.
• Quem tem dúvida sobre o caso do Tesouro pode usar o canal Fala.BR (falabr.cgu.gov.br).

Fonte: Agência Brasil (Caixa Seguridade)