O Tesouro Nacional e a Caixa Vida e Previdência, empresa ligada à Caixa Econômica Federal, confirmaram na quinta-feira (12) dois incidentes de segurança que resultaram na exposição de dados pessoais de milhões de brasileiros. Os ataques ocorreram em datas próximas, no início de novembro, e atingiram informações como nomes, CPFs, endereços de e-mail, telefones e chaves Pix, ampliando as preocupações com a segurança cibernética de instituições financeiras e órgãos públicos.O caso de maior dimensão ocorreu na Caixa Vida e Previdência, subsidiária da Caixa Seguridade, que identificou em 6 de novembro um acesso não autorizado aos seus sistemas. Segundo comunicado enviado à Comissão de Valores Mobiliários (CVM), os criminosos conseguiram copiar informações cadastrais para fora do ambiente tecnológico da companhia.O incidente comprometeu dados da base de clientes da empresa, que possui aproximadamente 7,6 milhões de usuários ativos, além de registros de antigos clientes. Entre as informações expostas estão nomes, números de CPF e, em parte dos cadastros, endereços, telefones, e-mails e datas de nascimento.Apesar da dimensão do vazamento, a companhia afirmou que, até o momento, não foram identificados indícios de comprometimento de informações financeiras ou de autenticação.“Com base na apuração preliminar, não há indícios de comprometimento de dados financeiros ou de autenticação, tais como valores de apólices, saldos de previdência, dados bancários ou senhas”, informou a Caixa Seguridade.A empresa também ressaltou que o incidente não afetou a continuidade de suas operações nem a prestação dos serviços aos clientes. Isso significa que, de acordo com as informações divulgadas, os criminosos não conseguiram acessar diretamente os saldos dos planos de previdência ou movimentar os recursos dos usuários.Após identificar o acesso indevido, a Caixa Vida e Previdência informou ter bloqueado os mecanismos utilizados no ataque, implementado medidas adicionais de segurança e iniciado uma investigação técnica com o auxílio de uma consultoria externa especializada em perícia digital.A companhia também passou a monitorar ambientes na internet para identificar eventual divulgação ou comercialização das informações roubadas.O ataque foi comunicado à Autoridade Nacional de Proteção de Dados (ANPD), a outras autoridades competentes e aos titulares afetados em 11 de novembro, conforme as exigências da Lei Geral de Proteção de Dados (LGPD).A empresa informou ainda que está entrando em contato com os clientes para alertar sobre os riscos de fraudes e tentativas de golpes envolvendo as informações expostas.Tesouro Nacional também sofre invasãoNo mesmo dia em que a Caixa divulgou seu incidente, a Secretaria do Tesouro Nacional confirmou que também foi alvo de um acesso não autorizado, identificado em 4 de novembro.Segundo o órgão, os criminosos conseguiram acessar dados pessoais de aproximadamente 30 mil cadastros do portal e-Serviços, utilizado por cidadãos para solicitar e acompanhar serviços oferecidos pelo Tesouro Nacional.Entre as informações comprometidas estão nomes completos, números de CPF e endereços de e-mail dos usuários.O incidente também atingiu uma segunda base de dados, utilizada para consultas internas, que continha aproximadamente 4 mil chaves Pix de beneficiários de pagamentos realizados pelo governo federal.Além das chaves Pix, foram expostas informações relacionadas aos pagamentos efetuados aos destinatários.Somando os dois conjuntos de registros, o incidente envolveu aproximadamente 34 mil cadastros e chaves Pix, embora isso não signifique necessariamente que o mesmo número de pessoas diferentes tenha sido afetado.O Tesouro Nacional ressaltou que a invasão não provocou perdas financeiras aos cofres públicos e não comprometeu os sistemas considerados estruturantes para o funcionamento do órgão.A secretaria também informou ter reforçado o monitoramento de sua rede e implementado medidas adicionais de proteção, enquanto uma investigação técnica busca identificar a origem e a extensão do ataque.O caso foi comunicado à ANPD e ao Centro de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos de Governo (CTIR Gov), responsável por auxiliar na resposta a incidentes de segurança em sistemas da administração pública federal.Em comunicado, o Tesouro alertou que as informações obtidas pelos criminosos podem ser utilizadas para tornar golpes e tentativas de fraude mais convincentes.Isso ocorre porque dados como nome, CPF e informações sobre pagamentos podem permitir que criminosos se passem por instituições públicas ou financeiras e enviem mensagens personalizadas às vítimas.Apesar de o incidente envolver chaves Pix, não há indicação de que os criminosos tenham conseguido acessar contas bancárias ou realizar transferências de recursos por meio dessas informações.Uma chave Pix funciona como um identificador utilizado para receber pagamentos e, isoladamente, não permite movimentar dinheiro de uma conta.O Tesouro recomendou que os usuários tenham atenção redobrada a mensagens, ligações ou contatos suspeitos que solicitem informações pessoais, senhas ou pagamentos.Pessoas que desejarem esclarecer dúvidas sobre o incidente podem entrar em contato com o encarregado pelo tratamento de dados pessoais do Ministério da Fazenda, por meio da plataforma oficial Fala.BR.Ataques aumentam alerta sobre segurança do sistema financeiroOs dois episódios ocorreram em um momento de crescente preocupação com ataques cibernéticos contra instituições financeiras, empresas de tecnologia e plataformas que administram grandes volumes de dados pessoais.Apesar da proximidade das datas, não há informações que indiquem uma ligação entre as invasões ao Tesouro Nacional e à Caixa Vida e Previdência, tampouco evidências públicas de que tenham sido realizadas pelo mesmo grupo criminoso.Também é importante distinguir as instituições afetadas. No caso da Caixa, o ataque atingiu a Caixa Vida e Previdência, empresa que atua no segmento de seguros e previdência, e não há indicação de que os sistemas centrais da Caixa Econômica Federal tenham sido comprometidos.Os incidentes chamam atenção porque, mesmo quando não há roubo direto de recursos financeiros, a exposição de dados cadastrais pode facilitar crimes de engenharia social. Nesse tipo de fraude, criminosos utilizam informações verdadeiras sobre as vítimas para ganhar sua confiança e induzi-las a revelar senhas, realizar transferências ou acessar páginas fraudulentas.No caso dos clientes da Caixa Vida e Previdência, por exemplo, os golpistas podem utilizar dados sobre a identidade e os contatos das vítimas para simular comunicações relacionadas a planos de previdência. Já as informações obtidas no Tesouro Nacional podem ser utilizadas em tentativas de fraude envolvendo supostos pagamentos ou serviços do governo.A preocupação com esse tipo de ameaça também foi manifestada pelo diretor de Fiscalização do Banco Central, Ailton de Aquino Santos, durante evento da Associação Brasileira de Câmbio (Abracam), realizado na terça-feira (10), em São Paulo.“O que tira o meu sono é o risco cibernético. Hoje, quase não consigo dormir, dado o problema do risco cibernético materializado”, afirmou o diretor, segundo informações publicadas pelo Estadão Conteúdo e reproduzidas pelo InfoMoney.Na ocasião, Aquino alertou que ataques digitais podem provocar perdas tão graves que chegam a comprometer a continuidade das operações de instituições financeiras. Ele relatou inclusive um episódio em que precisou determinar a liquidação de uma instituição após um incidente cibernético provocar perdas expressivas.A sucessão de ataques também reforça a importância das obrigações estabelecidas pela Lei Geral de Proteção de Dados. A legislação exige que empresas e órgãos públicos adotem medidas de segurança para proteger informações pessoais e comuniquem à ANPD e aos titulares incidentes que possam provocar riscos ou danos relevantes.A regulamentação da ANPD estabelece, como regra, prazo de três dias úteis para essas comunicações, contado do conhecimento de que o incidente afetou dados pessoais, ressalvadas as exceções legais.No caso da Caixa Vida e Previdência, os mecanismos de acesso utilizados pelos criminosos já foram bloqueados, segundo a companhia. Tanto ela quanto o Tesouro Nacional mantêm investigações para determinar as circunstâncias das invasões.Até a divulgação dos comunicados, nenhuma das instituições havia informado a identidade dos responsáveis pelos ataques ou apresentado evidências de utilização dos dados roubados em fraudes financeiras.Embora não tenham sido identificadas perdas financeiras diretas nesses dois episódios, a exposição de milhões de registros pessoais amplia os riscos para os usuários e coloca novamente em evidência a necessidade de reforçar a proteção dos sistemas que armazenam informações de cidadãos brasileiros.O post Tesouro e Caixa Previdência sofrem ataques hackers e dados de milhões de brasileiros são expostos apareceu primeiro em Portal do Bitcoin.