Tesouro Nacional confirma vazamento de 30 mil cadastros e 4 mil chaves Pix

A Secretaria do Tesouro Nacional informou, na noite desta quinta-feira (12), que detectou um acesso indevido a dados pessoais guardados em seus sistemas. O episódio atingiu cerca de 30 mil cadastros de usuários do portal e-Serviços e aproximadamente 4 mil chaves Pix de pessoas que recebem pagamentos do Governo Federal. Segundo o órgão, o problema foi identificado em 4 de novembro, uma quarta-feira, oito dias antes do anúncio público.

De acordo com a nota divulgada pelo Tesouro, não houve prejuízo financeiro e os chamados sistemas estruturantes da secretaria não foram comprometidos. Ainda assim, o órgão pede que os cidadãos fiquem atentos, porque os dados expostos podem ser usados para dar aparência de legitimidade a mensagens e contatos fraudulentos.

O que foi exposto

O Tesouro descreveu duas bases de dados afetadas. A primeira pertence ao e-Serviços, plataforma em que o público pede e acompanha serviços oferecidos pela instituição. A segunda é uma base interna usada para consultas analíticas, que reunia chaves Pix de destinatários e informações sobre pagamentos feitos pelo governo.

• Cerca de 30 mil cadastros do e-Serviços: nome, número de CPF e endereço de e-mail dos usuários;
• Cerca de 4 mil chaves Pix: chaves de beneficiários de pagamentos federais, além de dados ligados a essas transações.

A secretaria afirmou que seus mecanismos de segurança e o monitoramento da rede permitiram perceber e conter o acesso. Depois disso, a vigilância foi reforçada, novas camadas de proteção foram adotadas e uma apuração técnica foi aberta para esclarecer a origem e o alcance do incidente. O órgão não divulgou quem estaria por trás do acesso nem como ele ocorreu.

Comunicação à ANPD e ao CTIR Gov

Segundo o Tesouro, o caso foi levado a dois órgãos: o CTIR Gov, sigla do Centro de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos de Governo, e a Autoridade Nacional de Proteção de Dados (ANPD). O CTIR Gov funciona no Gabinete de Segurança Institucional da Presidência da República (GSI/PR) e é a equipe de resposta a incidentes da administração pública federal, além de coordenar a Rede Federal de Gestão de Incidentes Cibernéticos (Regic).

Sobre o intervalo entre a detecção e o aviso à população, a secretaria explicou que precisou de tempo para confirmar o ocorrido, fazer investigações internas e aplicar medidas de contenção e recuperação, num trabalho que envolveu várias áreas da instituição.

A comunicação de incidentes com dados pessoais segue a Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018) e o Regulamento de Comunicação de Incidente de Segurança, aprovado pela Resolução CD/ANPD nº 15/2024, publicada no Diário Oficial da União em 26 de abril de 2024. Pela norma, o controlador deve avisar a ANPD em três dias úteis, ressalvado prazo previsto em legislação específica. A contagem começa quando o controlador toma conhecimento de que o incidente afetou dados pessoais. Os titulares também devem ser avisados em três dias úteis.

O regulamento admite uma comunicação preliminar quando nem todas as informações estão disponíveis, que pode ser complementada, de forma fundamentada, em até 20 dias úteis. Os controladores também precisam manter, por pelo menos cinco anos, o registro dos incidentes, inclusive dos que não foram comunicados.

O que o aviso ao titular deve conter

Conforme a ANPD, a comunicação às pessoas atingidas deve usar linguagem simples, ser direta e individual sempre que possível, e trazer pelo menos as seguintes informações:

• quais tipos de dados pessoais foram afetados;
• as medidas técnicas e de segurança usadas para protegê-los;
• os riscos e os possíveis impactos para os titulares;
• as providências tomadas ou previstas para reduzir os efeitos;
• a data em que o incidente foi conhecido e, se houver atraso, os motivos;
• um contato para esclarecimentos e, quando for o caso, os dados do encarregado.

Quando não for possível avisar cada pessoa individualmente, a resolução determina que a divulgação seja feita por meios de ampla circulação por, no mínimo, três meses. Para a ANPD, o dever de comunicar vale para incidentes que possam causar risco ou dano relevante aos titulares, o que abrange situações que possam afetar significativamente interesses e direitos fundamentais e que envolvam, por exemplo, dados financeiros, dados de autenticação em sistemas ou tratamento em larga escala.

Como se proteger de golpes com dados vazados

Como o próprio Tesouro alertou, dados como nome, CPF, e-mail e chave Pix podem servir para tornar abordagens fraudulentas mais críveis. A Cartilha de Segurança para Internet do CERT.br, grupo de resposta a incidentes mantido pelo NIC.br, alerta que é comum haver mais tentativas de golpe depois de um vazamento, por mensagens de texto, e-mails e ligações. As principais orientações do material são:

• não clicar em links recebidos por e-mail ou SMS, mesmo que a mensagem pareça convincente;
• confirmar os dados do destinatário antes de qualquer transferência ou Pix;
• trocar senhas que possam ter sido expostas, não repetir senhas entre serviços e ativar a verificação em duas etapas;
• acompanhar extratos e ativar alertas de movimentação no banco;
• consultar no Registrato, do Banco Central, contas, empréstimos e outros registros vinculados ao CPF;
• registrar boletim de ocorrência em caso de prejuízo, extorsão ou uso indevido da identidade;
• não comprar dados vazados nem acessar sites que prometem mostrar se os seus dados vazaram, que podem ser armadilhas.

Outra ferramenta gratuita é o BC Protege+, do Banco Central, que permite avisar às instituições financeiras que a pessoa não quer abrir contas no momento. Com a proteção ativa, os bancos não podem abrir conta no nome do cidadão nem incluí-lo como titular ou representante em contas de terceiros. O acesso é feito pela área logada do Meu BC, com conta gov.br nível prata ou ouro e verificação em duas etapas habilitada.

Onde tirar dúvidas

Quem tiver dúvidas sobre o incidente pode procurar o encarregado pelo tratamento de dados pessoais do Ministério da Fazenda pela plataforma Fala.BR, canal de ouvidoria e acesso à informação do Governo Federal, no endereço falabr.cgu.gov.br. Segundo o CERT.br, se o pedido de esclarecimento ao responsável pelos dados não for atendido, o titular pode apresentar denúncia ou petição à ANPD pelos canais de atendimento da autoridade.