O Tesouro Nacional identificou um acesso não autorizado a dados pessoais de aproximadamente 30 mil cadastros e quatro mil chaves Pix. O incidente foi descoberto em 4 de novembro e atingiu duas bases de dados do órgão, incluindo informações de usuários de serviços públicos e beneficiários de pagamentos do governo federal.

Continua após a publicidade

Segundo o Tesouro, não houve impacto financeiro nem comprometimento de sistemas estruturantes. Ainda assim, o órgão alerta que os dados acessados podem ser utilizados por criminosos para dar mais credibilidade a contatos fraudulentos.

Uma das bases afetadas reúne informações de usuários do portal e-Serviços, utilizado para solicitar e acompanhar serviços oferecidos pelo Tesouro. Nesse conjunto, foram acessados nomes, CPFs e endereços de e-mail de aproximadamente 30 mil cadastros.

A segunda base era utilizada para consultas analíticas internas e continha cerca de quatro mil chaves Pix de destinatários de pagamentos do governo federal. Também foram acessadas informações relacionadas a pagamentos já realizados.

Leia mais:

Como os dados vazados podem ser usados em golpes?

• O Tesouro alerta que criminosos podem utilizar informações verdadeiras das vítimas para tornar abordagens fraudulentas mais convincentes;
• Uma pessoa mal-intencionada, por exemplo, pode mencionar dados pessoais ou informações sobre pagamentos para tentar se passar por uma instituição financeira ou órgão público;
• Por isso, a recomendação é ter atenção a mensagens e contatos suspeitos que solicitem informações pessoais, senhas ou pagamentos;
• O acesso a dados, como nome, CPF, e-mail e informações relacionadas a transações, pode facilitar tentativas de engenharia social, nas quais golpistas usam detalhes reais para conquistar a confiança das vítimas.

O que o Tesouro Nacional fez após o acesso indevido?

De acordo com o órgão, os mecanismos de segurança e o monitoramento da rede permitiram identificar e conter o acesso não autorizado.

Após a descoberta, o Tesouro reforçou o monitoramento, implementou medidas adicionais de proteção e iniciou investigação técnica para determinar a origem e a extensão do incidente.

O caso também foi comunicado à Agência Nacional de Proteção de Dados (ANPD) e ao Centro de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos de Governo (CTIR Gov).