Tesouro Nacional confirma acesso indevido a dados de usuários e chave pix
Incidente atingiu cerca de 30 mil cadastros e 4 mil chaves Pix; órgão afirma que não houve prejuízo financeiro e alerta para possíveis golpes
A Secretaria do Tesouro Nacional identificou um acesso não autorizado a informações pessoais armazenadas em seus sistemas, incluindo dados de aproximadamente 30 mil usuários e cerca de 4 mil chaves Pix de beneficiários de pagamentos do governo federal. O incidente foi detectado em 4 de novembro, mas comunicado publicamente apenas na noite de quinta-feira (12). Embora afirme que não houve impacto financeiro nem comprometimento dos sistemas estruturantes, o órgão alerta que as informações expostas podem ser utilizadas por criminosos em tentativas de fraude.
Acesso indevido atingiu duas bases de dados
O incidente de segurança identificado pelo Tesouro Nacional envolveu duas bases de informações diferentes. Uma delas reúne cadastros de usuários do portal e-Serviços, plataforma utilizada por cidadãos para solicitar e acompanhar serviços oferecidos pela instituição.
De acordo com as informações divulgadas pelo órgão, aproximadamente 30 mil registros foram atingidos. Entre os dados acessados estão nomes, números de Cadastro de Pessoas Físicas (CPF) e endereços de e-mail vinculados às contas dos usuários.
Além disso, uma segunda base, utilizada para consultas analíticas internas, também foi acessada sem autorização. Nesse ambiente estavam armazenadas aproximadamente 4 mil chaves Pix de pessoas que receberam pagamentos do governo federal, acompanhadas de informações relacionadas às respectivas transações.
O caso chamou atenção pela natureza das informações envolvidas, principalmente porque reúne dados pessoais e informações associadas a pagamentos realizados pela administração pública. Entretanto, o Tesouro não informou que senhas ou dados de acesso às contas bancárias tenham sido comprometidos. A instituição também não confirmou qualquer movimentação financeira irregular decorrente do episódio.
Incidente foi detectado oito dias antes do anúncio
Um dos pontos que marcaram o episódio foi o intervalo entre a identificação do acesso indevido e a divulgação pública do ocorrido. Segundo a Secretaria do Tesouro Nacional, os mecanismos de segurança detectaram a atividade irregular em 4 de novembro. A comunicação oficial, entretanto, aconteceu somente no dia 12, oito dias depois da identificação inicial.
O órgão justificou o período necessário para tornar o caso público com a realização de procedimentos internos de investigação, confirmação da ocorrência e adoção de medidas para conter o problema.
Ver esse post no Instagram
Influencer Islam Souza explica ataque hacker ao GOV (Vídeo: Reprodução/Instagram/@islamsouza)
A apuração envolveu diferentes áreas da instituição, que trabalharam para identificar a extensão do acesso não autorizado e reforçar os mecanismos de proteção do ambiente tecnológico.
A secretaria também informou que os procedimentos de monitoramento foram ampliados e que novas medidas de segurança foram implementadas após a descoberta do incidente.
Apesar da confirmação da exposição de informações, ainda não foram apresentados detalhes sobre a origem do acesso indevido ou a identidade dos responsáveis pela ação. Uma investigação técnica foi iniciada para esclarecer essas questões.
Tesouro descarta prejuízo financeiro
Mesmo com a exposição dos dados, a Secretaria do Tesouro Nacional afirmou que o episódio não provocou impacto financeiro e não comprometeu os sistemas estruturantes da instituição.
Esses sistemas são responsáveis por atividades essenciais relacionadas à administração financeira e à gestão das contas públicas. Segundo o órgão, os mecanismos de segurança e o monitoramento da rede permitiram identificar e conter o acesso não autorizado.
A instituição também declarou que reforçou os procedimentos de vigilância e adotou medidas adicionais para proteger seu ambiente tecnológico.
A confirmação de que não houve impacto financeiro, entretanto, não elimina os riscos relacionados à exposição de informações pessoais. Isso porque dados como CPF, nome completo, endereço eletrônico e chaves Pix podem ser utilizados por terceiros para construir abordagens fraudulentas mais convincentes.
Por esse motivo, o próprio Tesouro recomendou que os cidadãos mantenham atenção redobrada diante de mensagens, ligações e outros contatos que apresentem solicitações suspeitas.
Dados expostos podem facilitar tentativa de golpe
Um dos principais pontos de preocupação após o incidente envolve a possibilidade de utilização das informações acessadas em tentativas de fraude. Com dados verdadeiros em mãos, criminosos podem elaborar mensagens que aparentam ter sido enviadas por instituições públicas, bancos ou empresas conhecidas. A estratégia consiste em utilizar informações pessoais para transmitir credibilidade e convencer as vítimas a fornecer outros dados ou realizar pagamentos.
No caso das chaves Pix, a preocupação também envolve possíveis abordagens direcionadas a beneficiários de pagamentos do governo federal. Informações relacionadas a transações podem ser utilizadas para criar falsas cobranças, solicitações de atualização cadastral ou comunicados sobre supostos problemas em pagamentos.
Por isso, a recomendação é desconfiar de contatos inesperados que solicitem senhas, códigos de autenticação, informações bancárias ou transferências financeiras.
Também é importante evitar clicar em links recebidos por mensagens suspeitas e procurar os canais oficiais das instituições antes de fornecer qualquer informação.
O Tesouro não afirmou que golpes já tenham sido realizados a partir dos dados expostos, mas reconheceu que o material acessado pode facilitar esse tipo de abordagem criminosa.
Caso foi comunicado às autoridades de proteção de dados
Após identificar o incidente, a Secretaria do Tesouro Nacional informou que comunicou a ocorrência à Agência Nacional de Proteção de Dados (ANPD) e ao Centro de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos de Governo (CTIR Gov).
A ANPD é responsável por fiscalizar e orientar o cumprimento da Lei Geral de Proteção de Dados Pessoais (LGPD), legislação que estabelece regras para o tratamento de informações pessoais no Brasil.
A comunicação às autoridades faz parte dos procedimentos relacionados à apuração de incidentes que podem representar riscos aos titulares dos dados. O acompanhamento também permite avaliar as circunstâncias do episódio e as providências adotadas pela instituição responsável pelas informações.
Enquanto as investigações continuam, o Tesouro afirma que trabalha para determinar a origem e a extensão do acesso indevido, além de manter medidas adicionais de segurança em seus sistemas.
Canais oficiais orientam cidadãos afetados
Os cidadãos que desejarem obter informações sobre o incidente podem procurar o encarregado pelo tratamento de dados pessoais do Ministério da Fazenda por meio da plataforma Fala.BR, canal oficial do Governo Federal destinado a manifestações, solicitações e pedidos de informação.
A ferramenta permite que os usuários encaminhem dúvidas e busquem esclarecimentos diretamente pelos canais institucionais. A recomendação do Tesouro é que os cidadãos permaneçam atentos a possíveis contatos suspeitos e evitem compartilhar informações pessoais ou realizar pagamentos em resposta a solicitações cuja origem não tenha sido devidamente verificada.
O órgão afirma que as medidas de segurança foram reforçadas após a identificação do incidente.
