O Tesouro Nacional confirmou um vazamento de dados que atingiu cerca de 30 mil cadastros e aproximadamente 4 mil chaves Pix de beneficiários de pagamentos do Governo Federal. O incidente expôs nomes, CPFs e endereços de e-mail de usuários de um portal do órgão, além de informações relacionadas a pagamentos realizados.
O acesso não autorizado foi identificado em 4 de novembro de 2026 e atingiu duas bases de dados diferentes. A Secretaria do Tesouro Nacional publicou um comunicado oficial nesta sexta-feira (13), às 11h37, e informou que não houve impacto financeiro nem comprometimento de sistemas estruturantes.
Apesar da contenção do incidente, o órgão alerta que as informações podem ser utilizadas para tornar tentativas de golpes mais convincentes. Veja o que foi exposto, quem pode ter sido afetado e quais cuidados tomar.
Quais dados foram expostos no vazamento do Tesouro Nacional?
O incidente atingiu duas bases de dados distintas no ambiente tecnológico da Secretaria do Tesouro Nacional. A primeira pertence ao e-Serviços, portal utilizado para solicitar e acompanhar serviços do órgão. A segunda é uma base interna utilizada para consultas analíticas.
| Base atingida | Volume | Informações expostas |
|---|---|---|
| Portal e-Serviços | Cerca de 30 mil cadastros | Nomes, CPFs e endereços de e-mail |
| Base de consultas analíticas | Cerca de 4 mil chaves Pix | Chaves Pix de beneficiários do Governo Federal e dados relacionados aos pagamentos realizados |
O Tesouro não detalhou quais informações específicas sobre os pagamentos foram acessadas. Também não informou se as duas bases possuem registros de pessoas em comum. Por isso, não é correto somar os números e afirmar que 34 mil pessoas diferentes foram afetadas.
Quem pode ter sido afetado pelo vazamento?
O primeiro grupo potencialmente afetado reúne pessoas que tinham cadastro no e-Serviços, portal utilizado para solicitar e acompanhar serviços da Secretaria do Tesouro Nacional. São aproximadamente 30 mil registros com informações pessoais.
O segundo grupo envolve beneficiários de pagamentos realizados pelo Governo Federal cujas chaves Pix estavam armazenadas na base interna atingida. Nesse caso, foram identificadas aproximadamente 4 mil chaves.
O comunicado não apresenta uma relação dos programas, benefícios ou pagamentos envolvidos. Também não informa quantas pessoas diferentes estão representadas pelas chaves expostas.
Isso significa que o episódio não deve ser interpretado como um vazamento geral de todos os usuários do Pix ou de todos os beneficiários de programas federais.
O vazamento permite que criminosos roubem dinheiro pelo Pix?
O conhecimento de uma chave Pix não significa que alguém tenha autorização para movimentar a conta associada a ela. Segundo o Banco Central, a chave funciona como um identificador ou apelido da conta e pode ser representada por CPF, CNPJ, telefone, e-mail ou uma sequência aleatória.
O Banco Central também estabelece mecanismos de autenticação para as operações do Pix. Transações e procedimentos relacionados às chaves exigem autenticação no ambiente da instituição financeira, por senha, biometria, reconhecimento facial ou token.
Portanto, uma chave Pix exposta não funciona como senha bancária e não permite, por si só, retirar dinheiro de uma conta.
O risco mais evidente apontado pelo próprio Tesouro Nacional está na possibilidade de utilização dos dados para golpes personalizados. Com nome, CPF, e-mail e informações sobre pagamentos, criminosos podem tentar se passar por funcionários do governo ou de instituições financeiras.
Um exemplo seria uma mensagem falsa que menciona um pagamento federal ou uma transferência verdadeira e pede que a vítima confirme informações pessoais, informe um código de segurança ou faça um Pix para supostamente regularizar um benefício. Esse é um cenário possível de fraude, não um golpe que o órgão tenha confirmado como consequência do incidente.
O Tesouro não especificou se senhas ou outros dados bancários também foram acessados. Portanto, não é possível afirmar que essas informações foram expostas ou que estão definitivamente fora do alcance do incidente.
Como se proteger após o vazamento de dados do Tesouro?
A principal recomendação da Secretaria do Tesouro Nacional é ter atenção a mensagens e contatos suspeitos que solicitem informações pessoais, senhas ou pagamentos.
Alguns cuidados ajudam a reduzir o risco de cair em fraudes que utilizem informações verdadeiras:
- Não compartilhe senhas: funcionários de bancos e órgãos públicos não precisam que você informe sua senha bancária por telefone ou mensagem.
- Não forneça códigos de segurança: códigos recebidos por SMS, aplicativos autenticadores e tokens não devem ser compartilhados com terceiros.
- Desconfie de cobranças: não faça Pix para supostas contas de segurança, regularização de benefícios ou liberação de pagamentos.
- Evite links recebidos: não acesse páginas enviadas por mensagens que prometam consultar o vazamento ou proteger sua conta.
- Confira os canais oficiais: se receber uma comunicação sobre pagamentos do governo, procure diretamente o site ou aplicativo oficial da instituição responsável.
- Monitore sua conta: confira o extrato bancário e procure sua instituição financeira caso identifique alguma movimentação desconhecida.
Também não existe, no comunicado publicado pelo Tesouro, uma orientação para que todos os beneficiários excluam ou troquem suas chaves Pix. A exposição de uma chave, isoladamente, não equivale ao comprometimento da autenticação bancária.
Como saber se meu CPF foi vazado pelo Tesouro Nacional?
Até a publicação desta matéria, o Tesouro Nacional não havia divulgado uma ferramenta pública de consulta individual para verificar se determinado CPF aparece entre os cadastros atingidos.
Quem tiver dúvidas pode procurar o encarregado pelo tratamento de dados pessoais do Ministério da Fazenda por meio do Fala.BR, plataforma oficial de Ouvidoria e Acesso à Informação do Governo Federal.
É importante evitar sites desconhecidos que prometam consultar uma suposta lista de CPFs vazados. Essas páginas podem aproveitar a preocupação dos usuários para coletar ainda mais informações pessoais.
O que o Tesouro Nacional fez após o incidente?
Segundo a Secretaria do Tesouro Nacional, os mecanismos de segurança e o monitoramento da rede permitiram identificar e conter o acesso não autorizado.
O órgão informou que adotou as seguintes providências:
- Reforço do monitoramento da rede;
- Implementação de medidas adicionais de proteção;
- Início de uma investigação técnica para identificar a origem e a extensão do incidente;
- Comunicação à Agência Nacional de Proteção de Dados (ANPD);
- Comunicação ao Centro de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos de Governo (CTIR Gov).
O Tesouro também explicou a demora na divulgação do caso. De acordo com a instituição, foi necessário detectar e confirmar o incidente, realizar investigações internas e implementar medidas de contenção e recuperação.
Até o momento, não foram divulgados detalhes técnicos sobre o método utilizado para conseguir o acesso indevido nem a identificação dos responsáveis.
O que se sabe sobre o vazamento do Tesouro Nacional?
O caso envolve duas bases diferentes, com aproximadamente 30 mil cadastros pessoais e 4 mil chaves Pix. Embora o órgão afirme que não houve impacto financeiro nem comprometimento de sistemas estruturantes, a exposição de informações pessoais e de dados relacionados a pagamentos exige atenção.
Os próximos esclarecimentos importantes são a identificação da origem do acesso, a extensão dos dados relacionados aos pagamentos e a eventual comunicação individual às pessoas afetadas. Até que essas informações sejam divulgadas, a principal medida para os cidadãos é desconfiar de contatos que utilizem dados pessoais verdadeiros para solicitar dinheiro, senhas ou códigos de autenticação.
© Overdrive. A reprodução integral deste texto, inclusive por automação, depende de autorização. Compartilhe o link da matéria.
Comentários
Seja o primeiro a comentar