O que aconteceu
Segundo o Tesouro, a equipe de segurança identificou o incidente em 4 de novembro, ao detectar acessos não autorizados a duas bases de dados. O episódio foi divulgado publicamente oito dias depois. O órgão afirma que o monitoramento interrompeu a atividade irregular e que os sistemas estruturantes que gerenciam as finanças públicas não foram comprometidos.
As duas bases atingidas foram:
- Portal e-Serviços: base de pessoas cadastradas na plataforma usada para solicitar e acompanhar serviços do Tesouro.
- Ferramenta interna de consulta analítica: base com chaves Pix de beneficiários de pagamentos do governo federal.
Que dados foram expostos
Base | Volume aproximado | Dados expostos |
|---|---|---|
Portal e-Serviços | 30 mil cadastros Publicidade
| Nome completo, CPF e e-mail |
Consulta analítica | 4 mil chaves Pix | Chaves Pix e informações sobre pagamentos já realizados pelo governo |
O comunicado não detalha se outras informações foram acessadas na base do e-Serviços. Os números variam conforme o veículo: alguns falam em 30 mil registros, e outros somam as duas bases e chegam a 34 mil.
O que o Tesouro diz
- Não foram identificados prejuízos financeiros nem transações indevidas.
- O monitoramento foi reforçado e foram implementadas medidas adicionais de proteção.
- Uma investigação técnica apura a origem e a extensão do incidente, inclusive se outros registros foram acessados.
- Os responsáveis e os métodos usados ainda não foram identificados.
- A Autoridade Nacional de Proteção de Dados (ANPD) e o CTIR Gov, centro de resposta a incidentes cibernéticos do governo federal, foram comunicados.
Qual é o risco para quem teve dados expostos
Ter a chave Pix exposta, sozinha, não permite que um criminoso retire dinheiro de uma conta. O perigo está em outro ponto: com nome completo, CPF, e-mail e histórico de pagamentos do governo em mãos erradas, golpistas podem montar abordagens muito convincentes, como mensagens ou ligações que parecem vir de um banco ou de um órgão público e citam dados verdadeiros da vítima para ganhar confiança.
O próprio Tesouro reconhece esse risco e pede atenção a "eventuais contatos ou mensagens suspeitas que solicitem informações pessoais, senhas ou pagamentos".
Como se proteger
- Desconfie de contatos inesperados, mesmo que citem seu CPF, seu e-mail ou um pagamento que você realmente recebeu. Dados verdadeiros não provam que a mensagem é legítima.
- Nunca informe senhas, códigos de verificação ou faça transferências a pedido de quem diz ser do governo ou do banco. Encerre a conversa e ligue para o número oficial.
- Não clique em links recebidos por e-mail, SMS ou aplicativo de mensagens que prometam devolução, regularização ou bônus. Acesse os sites oficiais digitando o endereço.
- Ative a verificação em duas etapas no e-mail e nos aplicativos de banco, e use senhas diferentes em cada serviço.
- Acompanhe o extrato da conta ligada à chave Pix e avise o banco imediatamente se notar algo estranho. Se quiser, você pode trocar a chave Pix pelo aplicativo do banco.
- Tire dúvidas sobre seus dados com o encarregado de proteção de dados do Ministério da Fazenda, pela plataforma Fala.BR.
Outros incidentes recentes
O caso do Tesouro não é isolado. Segundo a cobertura, a Caixa Seguridade informou na quinta-feira (12) um ataque detectado em 6 de novembro, que copiou dados pessoais de uma base de 7,6 milhões de clientes ativos; a análise preliminar não encontrou sinais de comprometimento de senhas, dados bancários ou saldos.
