A Secretaria do Tesouro Nacional confirmou ontem (12), à noite, um acesso não autorizado a dados pessoais em seus sistemas. O incidente expôs cerca de 30 mil cadastros e aproximadamente 4 mil chaves Pix de pessoas que recebem pagamentos do Governo Federal.
Segundo o órgão, nenhum dinheiro saiu das contas. O risco agora é outro. Com nome, CPF, e-mail e dados de pagamentos em mãos, criminosos conseguem montar golpes sob medida, com mensagens que parecem oficiais.
O problema foi detectado na quarta-feira (4). A comunicação ao público só veio oito dias depois.
O que vazou do Tesouro e quem está exposto?
O acesso indevido atingiu duas bases de dados diferentes.
A primeira é o e-Serviços, portal usado para pedir e acompanhar serviços do Tesouro. Dali saíram nomes, números de CPF e endereços de e-mail de cerca de 30 mil usuários.
A segunda é uma base interna de consultas analíticas. Ela continha cerca de 4 mil chaves Pix de beneficiários de pagamentos do governo, junto com informações sobre as transações feitas. Chave Pix é o identificador usado para receber uma transferência instantânea, como o CPF, o celular, o e-mail ou um código aleatório.
Por que dados de pagamento deixam o golpe mais convincente
Uma chave Pix, sozinha, não permite tirar dinheiro de ninguém. Ela serve para receber, não para sacar. O perigo está na combinação de dados.
Quem tem o nome, o CPF, o e-mail e sabe que a pessoa recebeu um pagamento do governo consegue escrever uma mensagem difícil de distinguir de um aviso oficial. Esse tipo de fraude se chama engenharia social: o criminoso não invade a conta, ele convence a vítima a entregar senha, código ou fazer um pagamento.
O próprio Tesouro fez esse alerta. Segundo o órgão, as informações expostas podem ser usadas para tornar tentativas de fraude mais convincentes, com contatos que aparentam ser legítimos.
Na prática, o dinheiro do leitor só fica em risco se ele agir: clicar no link, passar um código ou transferir um valor. É nesse ponto que a proteção funciona.
Três vazamentos em uma semana ampliam a base para fraudes
O caso do Tesouro não está isolado. No mesmo dia, a Caixa Seguridade informou ao mercado um ataque cibernético contra a Caixa Vida e Previdência, ocorrido na sexta-feira (6). O incidente atingiu a base de 7,6 milhões de clientes ativos, além de ex-clientes. Foram copiados nomes e CPFs e, em parte dos registros, endereço, telefone, e-mail e data de nascimento. Segundo a empresa, dados financeiros e senhas não foram comprometidos.
Uma semana antes, na quinta-feira (5), o Fundo Garantidor de Créditos (FGC) havia comunicado um acesso não autorizado a dados pessoais. O FGC é a entidade que devolve o dinheiro de clientes quando um banco quebra. O incidente foi identificado na segunda-feira (26 de outubro) e envolveu nome, CPF, e-mail e data de nascimento de investidores. O fundo disse não ter identificado perda financeira.
Cada vazamento, isolado, expõe dados cadastrais. O risco cresce quando bases diferentes podem ser cruzadas. Um golpista que reúne CPF, telefone, data de nascimento e histórico de pagamentos tem um retrato mais completo da vítima do que qualquer vazamento sozinho oferece.
O que pode tornar esse risco menor do que parece?
Há motivos para não superdimensionar o caso do Tesouro. O número de chaves Pix expostas é pequeno: cerca de 4 mil. Não houve vazamento de senhas nem de saldos. O órgão afirma que o incidente não teve impacto financeiro e não comprometeu seus sistemas principais.
Segundo o Tesouro, o monitoramento da rede permitiu identificar e conter o acesso. As medidas de proteção foram reforçadas e uma investigação técnica foi aberta para apurar a origem e a extensão do problema.
O ponto fraco está no prazo. Foram oito dias entre a detecção e o aviso público. O Tesouro justificou a demora com o tempo necessário para confirmar o incidente, investigar e conter o acesso. Nesse intervalo, quem teve dados expostos não sabia que precisava redobrar a atenção.
O que fazer para proteger o seu dinheiro?
As orientações do Tesouro são diretas. Desconfie de mensagens, e-mails ou ligações que citem seu nome e CPF e peçam pagamento, senha ou código. Não clique em links recebidos por SMS ou aplicativos de mensagem que digam ser do governo. Confira qualquer informação nos sites e aplicativos oficiais.
Um sinal de alerta útil: mensagem que mistura dados verdadeiros sobre você com pedido de urgência. Acertar seu nome e CPF não prova que o contato é legítimo. Depois desta semana, prova apenas que esses dados circulam.
Quem tiver dúvidas sobre o incidente pode falar com o encarregado pelo tratamento de dados pessoais do Ministério da Fazenda pela plataforma Fala.BR, canal de ouvidoria do Governo Federal.
O que acompanhar a seguir?
O caso foi comunicado à Agência Nacional de Proteção de Dados (ANPD), órgão que fiscaliza o cumprimento da Lei Geral de Proteção de Dados, e ao Centro de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos de Governo (CTIR Gov).
Três pontos merecem atenção. O primeiro é o resultado da investigação técnica do Tesouro, que deve dizer como o acesso aconteceu e se o alcance foi maior. O segundo é a resposta da ANPD aos três incidentes da semana. O terceiro é se os afetados serão avisados individualmente, algo que o comunicado do Tesouro não detalha.
Leia a história original Vazamento no Tesouro expõe 4 mil chaves Pix e 30 mil cadastros; entenda por Lucas Espindola em br.beincrypto.com