Tesouro e Caixa Seguridade comunicam vazamentos de dados pessoais

A Secretaria do Tesouro Nacional informou na noite de quinta-feira (12) que identificou um acesso não autorizado a dados pessoais em seu ambiente tecnológico. Segundo a Agência Brasil, o incidente foi detectado em 4 de novembro e atingiu cerca de 30 mil cadastros do portal e-Serviços (nome, CPF e e-mail) e uma base de consultas analíticas internas com cerca de 4 mil chaves Pix de beneficiários de pagamentos do governo federal, além de dados ligados a essas transações. A CNN Brasil publicou os mesmos números.

No mesmo dia, a Caixa Seguridade informou, em nota publicada no site da Comissão de Valores Mobiliários (CVM), que sua subsidiária Caixa Vida e Previdência (CVP) sofreu um ataque cibernético em 6 de novembro. De acordo com a Agência Brasil e com reportagem da Folhapress reproduzida pelo jornal O Tempo, foram copiados dados de 7,6 milhões de clientes ativos (CPF, endereço, telefone, e-mail e data de nascimento), além de dados de ex-clientes. Os dois casos foram comunicados à Agência Nacional de Proteção de Dados (ANPD).

O que o Tesouro informou

O e-Serviços é o portal usado para solicitar e acompanhar serviços do Tesouro. Segundo a nota do órgão citada pela Agência Brasil, o incidente "não provocou impacto financeiro e não comprometeu os sistemas estruturantes do órgão". A CNN Brasil registra que, de acordo com o Tesouro, o acesso indevido foi identificado e contido pelos mecanismos de segurança e de monitoramento da rede.

O Tesouro afirmou ter reforçado o monitoramento, adotado medidas adicionais de proteção e aberto uma investigação técnica para apurar a origem e a extensão do caso. Além da ANPD, o incidente foi comunicado ao Centro de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos de Governo (CTIR Gov), segundo as duas reportagens.

Sobre o intervalo de oito dias entre a detecção e o anúncio, o órgão disse que a divulgação pública só ocorreu depois do período necessário para detectar, confirmar, investigar e conter o incidente. A CNN Brasil ressalta que a presença de uma chave Pix na base exposta não significa, por si só, que alguém tenha conseguido movimentar dinheiro de contas bancárias.

O Tesouro orientou quem tem cadastro no portal a desconfiar de mensagens que peçam dados pessoais, senhas ou pagamentos, porque, nas palavras do órgão, "as informações expostas podem ser utilizadas por terceiros para tornar tentativas de fraude mais convincentes". Dúvidas podem ser enviadas ao encarregado de dados do Ministério da Fazenda pela plataforma Fala.BR, da Controladoria-Geral da União.

O Tesouro é o mesmo órgão que divulga mensalmente o resultado das contas do Governo Central, como o superávit de R$ 4,8 bilhões registrado em setembro, e que administra pagamentos do governo federal.

O que a Caixa Seguridade informou

A CVP é uma sociedade criada em 2021, com 60% da Caixa Seguridade e 40% da seguradora francesa CNP, segundo a Folhapress. A Caixa Seguridade, por sua vez, foi criada pela Caixa Econômica Federal em 2015 para reunir as atividades de seguros, previdência complementar, capitalização e consórcios do banco público.

Segundo o comunicado descrito pela Agência Brasil, a apuração preliminar não encontrou "indícios de comprometimento de dados financeiros ou de autenticação". A empresa lista entre os dados que não teriam sido atingidos os valores de apólices, os saldos de previdência, os dados bancários e as senhas. A CVP afirmou também que não identificou, até agora, divulgação pública nem uso indevido das informações copiadas, mas alertou que elas podem ser usadas em contatos enganosos ou em falsas identificações.

Entre as medidas descritas estão o bloqueio dos mecanismos usados no ataque, a contratação de consultoria externa de perícia forense, o monitoramento da internet para detectar exposição dos dados e o aviso aos titulares afetados, com recomendações contra fraudes. A empresa informou que vai disponibilizar um e-mail específico para dúvidas. A notificação à ANPD, a outras autoridades e aos titulares foi feita em 11 de novembro, conforme a Lei Geral de Proteção de Dados (LGPD), segundo a Agência Brasil.

Por que isso importa

Os dois casos envolvem dados guardados pelo poder público ou por empresas ligadas a ele. O Tesouro é uma secretaria do Ministério da Fazenda. A CVP tem como sócia majoritária uma empresa do grupo Caixa, banco federal. Quando bases desse tipo são expostas, o risco imediato para o cidadão, segundo as próprias instituições, é o uso das informações para dar aparência de veracidade a golpes: quem liga ou escreve já sabe nome, CPF, telefone e até a data de nascimento da vítima.

Os números são diferentes em escala. No Tesouro, a exposição informada é de cerca de 30 mil cadastros e 4 mil chaves Pix. Na CVP, de 7,6 milhões de clientes ativos, além de ex-clientes em número não divulgado nas reportagens consultadas. Em nenhum dos dois casos as instituições relatam, até aqui, prejuízo financeiro identificado, e ambas dizem que a investigação técnica continua.

Há também um efeito institucional. A ANPD, que fiscaliza o cumprimento da LGPD, recebeu as duas comunicações. No caso da Caixa Seguridade, que tem ações negociadas na bolsa, a nota publicada na CVM é a forma de informar investidores sobre um fato que pode afetar a companhia.

A previdência complementar, ramo em que a CVP atua, também está na pauta do Judiciário por outros motivos: o Supremo Tribunal Federal discute regras de benefícios para mulheres em planos fechados, como mostramos na reportagem sobre o julgamento da Previ suspenso com placar de 5 a 3. Para o cliente de um plano aberto, como os da CVP, o caso desta semana é de outra natureza: proteção de dados cadastrais, não de regras de benefício.

O que observar a seguir

O primeiro ponto é o resultado das investigações técnicas. O Tesouro disse que vai apurar a origem e a extensão do incidente. A CVP contratou perícia externa para determinar origem, alcance e impacto do ataque. Novos números podem surgir quando essas apurações forem concluídas.

O segundo é a atuação da ANPD diante das duas comunicações. Até a publicação desta reportagem, as fontes consultadas não registravam manifestação pública da agência sobre os casos.

O terceiro é o atendimento aos afetados. A CVP disse que está avisando os titulares e que vai abrir um canal por e-mail. Quem tem plano de previdência ou seguro de vida da Caixa e receber contato pedindo dados ou pagamento deve confirmar a informação pelos canais oficiais da empresa antes de responder. A recomendação vale também para golpes que exploram benefícios públicos, como os que tratamos na checagem sobre o suposto bloqueio de benefícios do INSS por falta de biometria.

Por fim, há a reação do mercado. A quinta-feira (12) já tinha sido de pregão agitado, com o dólar em alta de 1,58%, a R$ 5,65, em meio ao debate do ajuste fiscal no Senado. A Caixa Seguridade disse que manterá o mercado informado sobre novos desdobramentos do incidente.