A Caixa Seguridade informou ao mercado, nesta quinta-feira (12), que sua subsidiária Caixa Vida e Previdência foi alvo de um ataque cibernético em 6 de novembro. Segundo a empresa, os invasores copiaram informações cadastrais de 7,6 milhões de clientes ativos, além de dados de ex-clientes, cujo número não foi divulgado.
De acordo com o comunicado, os dados expostos são CPF, endereço, telefone, e-mail e data de nascimento. A apuração preliminar, afirma a companhia, não encontrou indícios de que tenham sido atingidos dados financeiros ou de autenticação, como valores de apólices, saldos de planos de previdência, dados bancários e senhas.
O que a empresa diz que já fez
Segundo a Caixa Seguridade, os mecanismos usados pelos invasores foram identificados e bloqueados, e novas camadas de proteção foram adotadas em seguida. A companhia também abriu uma investigação técnica, com apoio de uma consultoria externa especializada em perícia forense, para esclarecer a origem, a extensão e as consequências do incidente. Paralelamente, monitora a internet para verificar se as informações chegaram a ser divulgadas.
Em 11 de novembro, a Caixa Vida e Previdência comunicou o caso à Autoridade Nacional de Proteção de Dados (ANPD), a outras autoridades e aos titulares afetados, como prevê a Lei Geral de Proteção de Dados (LGPD). A empresa informou que os clientes estão sendo avisados e recebendo orientações de segurança, e que vai disponibilizar um e-mail específico para dúvidas.
Qual é o risco para quem teve os dados expostos
Mesmo sem senhas ou números de conta, o conjunto de informações copiado é valioso para criminosos. Com nome, CPF, endereço, telefone e data de nascimento em mãos, golpistas conseguem montar abordagens convincentes, se passando por funcionários do banco, da seguradora ou de órgãos públicos. A própria empresa reconheceu o risco de fraudes ao orientar os clientes.
Os golpes mais comuns nesse tipo de situação envolvem:
- ligações de supostas centrais de atendimento que citam dados verdadeiros do cliente para ganhar confiança e, depois, pedem senha, código de verificação ou transferência por Pix;
- mensagens por SMS, WhatsApp ou e-mail com links para “atualizar cadastro”, “resgatar valores” ou “cancelar uma compra”;
- falsos boletos ou cobranças ligadas a seguros e planos de previdência;
- tentativas de abrir contas, contratar crédito ou fazer compras em nome da vítima.
Como se proteger
Quem é ou já foi cliente da Caixa Vida e Previdência deve redobrar a atenção nas próximas semanas. Algumas medidas ajudam a reduzir o risco:
- Desconfie de contatos não solicitados: bancos e seguradoras não pedem senha, token ou código recebido por SMS. Na dúvida, desligue e ligue você mesmo para o número oficial que está no cartão ou no site da instituição;
- Não clique em links recebidos por mensagem ou e-mail. Acesse os serviços digitando o endereço no navegador ou pelo aplicativo oficial;
- Ative a verificação em duas etapas no WhatsApp, no e-mail e nos aplicativos bancários;
- Acompanhe extratos e faturas e conteste imediatamente qualquer movimentação que não reconheça;
- Consulte o Registrato, sistema gratuito do Banco Central, para verificar se há empréstimos, contas ou chaves Pix abertas no seu CPF sem autorização;
- Registre boletim de ocorrência se perceber uso indevido dos seus dados.
Se cair em um golpe envolvendo Pix, a orientação é procurar o banco o quanto antes para pedir a devolução pelo Mecanismo Especial de Devolução (MED), do Banco Central. A recuperação do dinheiro não é garantida, mas a chance é maior quando a contestação é feita rapidamente.
Direitos do titular dos dados
A LGPD garante ao cidadão o direito de saber quais informações suas uma empresa trata e de ser informado sobre incidentes de segurança que possam causar risco ou dano relevante. Clientes que se sentirem prejudicados podem procurar primeiro a própria empresa, pelos canais oficiais, e também registrar reclamação na ANPD ou nos órgãos de defesa do consumidor, como o Procon e a plataforma consumidor.gov.br.
Até a publicação desta reportagem, a Caixa Seguridade não havia divulgado conclusões da investigação sobre a autoria do ataque. A orientação é acompanhar os comunicados oficiais da empresa e desconfiar de qualquer mensagem que use o incidente como pretexto para pedir dados ou pagamentos.