O Tesouro Nacional levou seis dias úteis para avisar sobre um vazamento de dados que expôs CPFs e chaves Pix de milhares de brasileiros. O órgão identificou o problema em 4 de novembro, mas só comunicou o caso publicamente na quinta-feira (12 de novembro).
Segundo o Tesouro, o incidente atingiu cerca de 30 mil cadastros do sistema e-Serviços, com nome, CPF e e-mail, e uma base interna com cerca de 4 mil chaves Pix de beneficiários de pagamentos do governo federal.
"Esses dados podem ser utilizados por terceiros para tornar contatos fraudulentos mais convincentes", informou o Tesouro, recomendando atenção a mensagens suspeitas que peçam senhas, dados pessoais ou pagamentos.
O órgão afirma que não houve impacto financeiro e que nenhum sistema estruturante foi afetado. Disse ainda ter comunicado o caso à Autoridade Nacional de Proteção de Dados (ANPD) e ao CTIR Gov, centro de resposta a incidentes cibernéticos do governo federal.
Por que a demora chama atenção
A Resolução CD/ANPD nº 15, de 2024, dá ao controlador até três dias úteis para comunicar a ANPD e os titulares dos dados, contados do momento em que toma conhecimento do incidente.
Entre a identificação, em 4 de novembro, e o aviso público, em 12 de novembro, passaram-se seis dias úteis, o dobro do prazo da resolução. O Tesouro atribui a demora ao tempo necessário para confirmar o incidente e investigar internamente, segundo nota à imprensa.
Outras instituições levaram menos tempo para avisar sobre vazamentos parecidos. Em novembro, a Caixa Seguridade identificou um vazamento de dados de 7,6 milhões de clientes numa sexta-feira e avisou a ANPD três dias úteis depois, dentro do prazo da resolução.
Publicidade
Em agosto, a Latam levou quase três semanas para confirmar um vazamento de dados de clientes depois de identificá-lo.
Em junho, o iFood avisou sobre um vazamento que atingiu 2% de seus usuários, em prazo mais parecido com o da Caixa.
O ponto em aberto
O Tesouro não informou quando confirmou que o acesso indevido havia atingido dados pessoais, nem se avisou a ANPD dentro do prazo a partir dessa confirmação. Sem esse marco, não dá para saber se o órgão cumpriu a resolução ou demorou mais que outras instituições.
