A Secretaria do Tesouro Nacional identificou um acesso não autorizado a dados pessoais em seu ambiente tecnológico, com exposição de informações de aproximadamente 30 mil cadastros e de cerca de 4 mil chaves Pix de beneficiários de pagamentos do Governo Federal. O incidente foi detectado em 4 de novembro e comunicado pelo órgão na noite de 12 de novembro, e o Tesouro afirma que não houve impacto financeiro nem comprometimento de seus sistemas estruturantes.
O caso atingiu duas bases distintas, segundo o órgão: uma com nomes, CPFs e endereços de e-mail de usuários do portal e-Serviços, usado para solicitar e acompanhar serviços do Tesouro, e outra, de consultas analíticas internas, que continha chaves Pix de destinatários de pagamentos do governo e informações relacionadas às transações. O Tesouro disse que os mecanismos de segurança e o monitoramento da rede permitiram conter o acesso indevido, e comunicou o caso à ANPD e ao Centro de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos de Governo (CTIR Gov). Os relatos consultados não informam como o acesso ocorreu nem quem foi o responsável.
O vazamento de dados não envolveu senhas nem saldos, segundo o comunicado, mas o próprio órgão alertou que os dados expostos podem tornar contatos fraudulentos mais convincentes, já que criminosos podem usar informações verdadeiras de uma pessoa para se passar por instituições ou órgãos públicos e pedir senhas, dados ou pagamentos. A exposição de chaves Pix de beneficiários de pagamentos do governo, associada a dados de transações, amplia a relevância do caso para a segurança de pagamentos instantâneos. Quem tiver dúvidas pode procurar o encarregado de dados do Ministério da Fazenda pelo canal Fala.BR, e a ausência de impacto financeiro até agora não descarta o uso posterior das informações por terceiros.