 "Tesouro Nacional confirma acesso indevido a bases de dados que continham informações cadastrais e chaves Pix de beneficiários de pagamentos federais.")
A Secretaria do Tesouro Nacional confirmou um incidente de segurança cibernética que resultou na exposição de informações pessoais de aproximadamente 30 mil cadastros e cerca de 4 mil chaves Pix de beneficiários de pagamentos do governo federal. O caso foi comunicado na noite de quinta-feira (12) e ganhou repercussão nesta sexta-feira (13).
Segundo o órgão, o acesso não autorizado foi identificado em 4 de novembro, em duas bases de dados utilizadas para atividades administrativas e consultas internas.
Entre as informações expostas estão nomes completos, números de CPF, endereços de e-mail, chaves Pix e dados relacionados a pagamentos realizados pelo governo federal.
O Tesouro Nacional informou que conseguiu identificar e conter o acesso indevido por meio dos mecanismos de segurança e monitoramento da rede.
A instituição também afirmou que não houve impacto financeiro e que seus sistemas estruturantes não foram comprometidos.
Apesar disso, o órgão alertou para a possibilidade de utilização dos dados em tentativas de fraude, especialmente por meio de mensagens e contatos que aparentem ser legítimos.
Quais dados foram expostos no ataque ao Tesouro Nacional?
O incidente atingiu duas bases de informações distintas.
A primeira corresponde ao portal e-Serviços, plataforma utilizada por cidadãos e instituições para solicitar e acompanhar serviços oferecidos pelo Tesouro Nacional.
Nesse ambiente, aproximadamente 30 mil cadastros tiveram informações acessadas indevidamente.
Os dados incluem:
- Nome completo dos usuários;
- Número do Cadastro de Pessoas Físicas (CPF);
- Endereço de e-mail cadastrado no portal.
A segunda base afetada era utilizada para consultas analíticas internas.
Ela reunia aproximadamente 4 mil chaves Pix pertencentes a beneficiários de pagamentos efetuados pelo governo federal.
Além das chaves, foram expostas informações relacionadas aos pagamentos realizados.
O Tesouro não detalhou publicamente quais modalidades de chave Pix estavam presentes na base, nem identificou individualmente os beneficiários afetados.
Os números divulgados se referem a conjuntos diferentes de registros e não permitem determinar, por simples soma, a quantidade exata de pessoas atingidas.
Quando aconteceu o acesso indevido?
De acordo com o comunicado oficial, o acesso não autorizado foi identificado em 4 de novembro de 2026.
A divulgação pública ocorreu oito dias depois, na noite de quinta-feira (12).
O intervalo entre a identificação e o anúncio chamou a atenção porque as informações envolvem dados pessoais e identificadores utilizados em pagamentos.
O Tesouro explicou que precisou realizar procedimentos de verificação para confirmar a ocorrência, avaliar a extensão do incidente e implementar medidas de contenção.
A instituição informou que diferentes áreas técnicas participaram da investigação e das ações de recuperação.
Segundo o órgão, a comunicação foi realizada depois dessas etapas iniciais.
A investigação ainda busca esclarecer a origem do acesso indevido e determinar a extensão completa da exposição.
Até a atualização desta reportagem, não havia divulgação oficial sobre a identidade dos responsáveis.
Tesouro Nacional afirma que não houve prejuízo financeiro
Apesar da exposição de informações, a Secretaria do Tesouro Nacional declarou que não identificou impacto financeiro decorrente do incidente.
O órgão também ressaltou que nenhum de seus sistemas estruturantes foi afetado.
Esses sistemas são utilizados em operações essenciais da administração financeira e orçamentária do governo federal.
A declaração indica que, segundo a avaliação divulgada pela instituição, o incidente não comprometeu diretamente a execução dessas atividades.
Entretanto, a ausência de prejuízo financeiro identificado não elimina a possibilidade de tentativas futuras de fraude contra pessoas cujos dados foram expostos.
O principal risco apontado pelo Tesouro está relacionado ao uso das informações por terceiros para criar comunicações enganosas.
Vazamento de chave Pix permite retirar dinheiro da conta?
A exposição de uma chave Pix, isoladamente, não permite que outra pessoa retire dinheiro de uma conta bancária.
A chave funciona como um identificador utilizado para receber transferências pelo sistema de pagamentos instantâneos.
Para realizar uma movimentação financeira, normalmente são necessários mecanismos de autenticação e autorização definidos pela instituição financeira.
Isso significa que conhecer uma chave Pix não equivale a ter acesso à conta bancária.
Entretanto, o vazamento de chaves combinado com nomes, CPFs, endereços de e-mail ou informações sobre pagamentos pode facilitar tentativas de engenharia social.
Nesse tipo de golpe, criminosos utilizam informações verdadeiras para conquistar a confiança da vítima e induzi-la a fornecer senhas, códigos de segurança ou realizar transferências.
Por isso, o Tesouro Nacional recomenda atenção redobrada diante de contatos suspeitos.
Como os dados expostos podem ser utilizados em golpes?
Informações pessoais podem ser exploradas em mensagens fraudulentas enviadas por e-mail, aplicativos de conversa, redes sociais ou chamadas telefônicas.
Um criminoso que conhece o nome completo e o CPF de determinada pessoa pode utilizar esses dados para tornar uma abordagem aparentemente mais confiável.
Em alguns casos, a tentativa de fraude pode incluir referências a pagamentos governamentais, cadastros ou procedimentos administrativos.
A vítima pode receber, por exemplo, uma mensagem falsa informando que precisa atualizar dados para liberar um pagamento.
Também podem surgir pedidos de confirmação de senhas, códigos de autenticação ou transferências de valores.
Essas situações são exemplos de golpes possíveis, não ocorrências específicas confirmadas como consequência do incidente.
A recomendação é desconfiar de contatos inesperados, mesmo quando apresentam informações pessoais corretas.
A presença de dados verdadeiros em uma mensagem não comprova que o remetente representa uma instituição oficial.
O que fazer se seus dados foram expostos?
Pessoas que utilizam o portal e-Serviços ou recebem pagamentos do governo federal devem manter atenção a comunicações suspeitas.
Entre as medidas preventivas estão:
- Não fornecer senhas ou códigos de autenticação por telefone, e-mail ou aplicativos de mensagem.
- Evitar clicar em links recebidos de remetentes desconhecidos.
- Não realizar pagamentos para supostamente regularizar cadastros ou liberar benefícios.
- Confirmar solicitações diretamente nos canais oficiais das instituições.
- Ativar a autenticação em duas etapas sempre que disponível.
- Acompanhar movimentações bancárias e notificações de segurança.
- Desconfiar de mensagens que utilizem urgência ou ameaças para exigir uma ação imediata.
Caso uma pessoa identifique movimentações financeiras não reconhecidas, deve entrar em contato imediatamente com sua instituição bancária.
Também é recomendável registrar a ocorrência e seguir as orientações do banco para contestar eventuais transações.
A exposição de dados, por si só, não significa que uma conta tenha sido invadida.
Como saber se fui afetado pelo incidente?
Até a divulgação das informações consultadas para esta reportagem, o Tesouro Nacional não havia apresentado uma ferramenta pública específica para consulta individual dos cadastros atingidos.
O órgão orientou pessoas com dúvidas a procurar o encarregado pelo tratamento de dados pessoais do Ministério da Fazenda.
O contato pode ser realizado pela plataforma Fala.BR, canal oficial de ouvidoria e acesso à informação do governo federal.
Ao buscar esclarecimentos, o cidadão deve acessar o serviço diretamente pelos canais governamentais, evitando links enviados por terceiros.
É importante não fornecer informações sensíveis a pessoas que afirmem representar o Tesouro Nacional sem que sua identidade possa ser verificada.
O que é o portal e-Serviços do Tesouro Nacional?
O e-Serviços é uma plataforma digital utilizada para solicitar e acompanhar serviços disponibilizados pela Secretaria do Tesouro Nacional.
O sistema permite a interação de cidadãos e instituições com determinados procedimentos administrativos do órgão.
Para utilizar alguns recursos, os usuários precisam manter informações cadastrais, como nome, CPF e endereço de e-mail.
Foi justamente essa base cadastral que teve aproximadamente 30 mil registros acessados indevidamente.
O incidente também alcançou uma base interna de consultas analíticas, separada do portal, que continha informações sobre pagamentos federais.
O Tesouro não informou que todos os usuários de seus serviços digitais foram atingidos.
Por isso, não é correto afirmar que o vazamento comprometeu indiscriminadamente os dados de toda a população brasileira.
Tesouro Nacional comunica incidente à ANPD
A Secretaria do Tesouro Nacional informou que comunicou o episódio à Autoridade Nacional de Proteção de Dados (ANPD).
A notificação está relacionada às obrigações previstas na Lei Geral de Proteção de Dados Pessoais (LGPD), legislação que estabelece regras para o tratamento e a proteção de informações pessoais no Brasil.
A lei determina procedimentos para situações em que incidentes de segurança possam representar risco ou dano relevante aos titulares dos dados.
A comunicação permite que a autoridade acompanhe o caso e avalie as providências adotadas pela instituição responsável.
O órgão também informou que notificou o Centro de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos de Governo, conhecido como CTIR Gov.
A estrutura atua no tratamento e na coordenação de respostas a incidentes envolvendo redes e sistemas governamentais.
A notificação dessas instituições não significa que a investigação esteja concluída.
Investigação tenta identificar origem do ataque
Após detectar o acesso indevido, o Tesouro Nacional informou ter reforçado os mecanismos de proteção e ampliado o monitoramento de sua infraestrutura tecnológica.
A instituição também iniciou uma investigação técnica para esclarecer como ocorreu a exposição.
Entre os pontos que precisam ser determinados estão a origem do acesso, os mecanismos utilizados e a extensão dos dados comprometidos.
Até o momento, não foram divulgados detalhes técnicos suficientes para estabelecer publicamente a causa do incidente.
Também não houve identificação oficial de pessoas ou grupos responsáveis.
Por esse motivo, embora o episódio seja descrito como ataque cibernético, não é possível atribuí-lo a um grupo hacker específico ou afirmar qual vulnerabilidade teria sido explorada.
O órgão sustenta que o acesso indevido foi contido.
Vazamento reacende debate sobre segurança de dados públicos
A exposição de informações mantidas por uma instituição federal reforça a importância da proteção de dados pessoais em sistemas governamentais.
Órgãos públicos armazenam informações necessárias para a prestação de serviços e a realização de procedimentos administrativos.
Esses registros podem incluir dados cadastrais, identificadores financeiros e informações relacionadas a pagamentos.
Mesmo quando um incidente não provoca prejuízo financeiro imediato, a divulgação indevida desses dados pode criar riscos posteriores para os cidadãos.
Especialistas em segurança digital costumam destacar a importância de controles de acesso, monitoramento contínuo e procedimentos de resposta a incidentes.
A proteção também depende de medidas adotadas pelos próprios usuários, especialmente diante de tentativas de fraude que utilizam informações pessoais para simular comunicações oficiais.
Tesouro reforça alerta contra mensagens suspeitas
O Tesouro Nacional recomendou que os cidadãos redobrem a atenção diante de mensagens e contatos inesperados.
A principal preocupação é que informações expostas sejam utilizadas para tornar golpes mais convincentes.
A instituição orienta a população a desconfiar de pedidos de dados pessoais, senhas ou pagamentos feitos por canais não verificados.
O incidente identificado em 4 de novembro e comunicado em 12 de novembro segue sob investigação técnica.
Até a atualização desta reportagem, o Tesouro afirmava não ter identificado prejuízo financeiro nem comprometimento de seus sistemas estruturantes.
Enquanto a apuração continua, a recomendação é acompanhar os comunicados oficiais e manter cuidados básicos de segurança digital.
Da IstoÉ