Vazamento no Tesouro Nacional expõe 30 mil cadastros e 4 mil chaves Pix de quem recebe do governo

Um vazamento no Tesouro Nacional expôs dados de aproximadamente 30 mil cadastros e cerca de 4 mil chaves Pix de pessoas que recebem pagamentos do governo federal. O acesso indevido foi detectado em 4 de novembro e comunicado publicamente só na noite de 12 de novembro. É a segunda falha de grande porte a atingir serviços digitais usados por milhões de brasileiros em poucos dias, depois do apagão da Microsoft que derrubou Outlook e Teams e fez o STF suspender prazos.

A Secretaria do Tesouro Nacional é um órgão ligado ao Ministério da Fazenda. Segundo o próprio Tesouro, o incidente não teve impacto financeiro e não comprometeu os sistemas estruturantes da instituição.

O que o vazamento no Tesouro Nacional expôs

O acesso indevido atingiu duas bases de dados diferentes. Na primeira, do portal e-Serviços, usado para solicitar e acompanhar serviços do órgão, foram expostos nomes, números de CPF e endereços de e-mail de cerca de 30 mil cadastros.

A segunda é uma base de consultas analíticas internas. Ali estavam cerca de 4 mil chaves Pix de destinatários de pagamentos feitos pelo governo federal, além de informações relacionadas a essas transações.

Por que o risco maior é o golpe, e não o saque

O Tesouro alertou que as informações expostas podem ser usadas por terceiros para tornar tentativas de fraude mais convincentes. Com nome, CPF, e-mail e a chave Pix de alguém que recebe do governo, um golpista consegue montar uma abordagem que parece legítima.

A recomendação do órgão é redobrar a atenção diante de comunicações suspeitas que peçam dados pessoais, senhas ou pagamentos. Quem tiver dúvidas sobre o incidente pode procurar o encarregado pelo tratamento de dados pessoais do Ministério da Fazenda pelo Fala.BR, plataforma de ouvidoria do governo federal.

Oito dias entre a detecção e o aviso

O intervalo entre a identificação do problema, em 4 de novembro, e a comunicação pública, em 12 de novembro, é o ponto mais sensível do caso. O Tesouro explicou que o prazo foi usado para detectar e confirmar o incidente, fazer investigações internas e aplicar medidas de contenção e recuperação.

O órgão informou que comunicou o caso à Agência Nacional de Proteção de Dados e ao Centro de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos de Governo, o CTIR Gov. Segundo o portal Anti/Hype, a nota oficial publicada no site do Tesouro cita o artigo 48 da Lei Geral de Proteção de Dados, que trata justamente da obrigação de comunicar incidentes.

Uma semana ruim para dados no Brasil

O caso do Tesouro não veio sozinho. Na mesma semana, a Caixa Seguridade informou ter sofrido um ataque cibernético com cópia de nomes e números de CPF de clientes ativos e inativos, segundo a Agência Brasil.

A sequência reforça um padrão que a Rap Growing vem acompanhando no noticiário de plataformas e dados, de investigações sobre proteção de usuários, como a do TikTok na Espanha pelo Ministério Público, a ferramentas que medem exposição de marcas e pessoas, caso do Business Hub do ChatGPT.

Fontes e créditos

Comunicado do Tesouro, dados expostos, notificação à ANPD e ao CTIR Gov e orientação pelo Fala.BR: Agência Brasil. Detalhamento das duas bases atingidas: Tecnoblog e Times Brasil. Menção ao artigo 48 da LGPD na nota oficial: Anti/Hype. Foto de abertura: Marcelo Camargo / Agência Brasil.