O pior mês da história da cibersegurança no mundo
Black October: por que outubro se tornou o pior mês da história da cibersegurança?. Crédito: Arthur Igreja
A Caixa Seguridade confirmou que uma de suas subsidiárias, a Caixa Vida e Previdência (CVP), foi alvo de um incidente cibernético na última sexta-feira (06). O ataque foi confirmado na quarta-feira (11) e resultou no vazamento de informações de clientes, atingindo diretamente a base cadastral da companhia. O TecMundo contatou a Caixa e a Agência Nacional de Proteção de Dados (ANPD) para esclarecimentos.
Por nota, a ANPD informa ter recebido o comunicado de incidente de segurança por parte da Caixa nessa quarta-feira e que “está verificando as medidas tomadas pela instituição, em especial as relacionadas à transparência e mitigação de possíveis danos aos titulares”.
A Caixa Vida e Previdência respondeu que “vítima de ataque cibernético que resultou no acesso não autorizado e na cópia de dados pessoais cadastrais”. A companhia disse que o incidente foi prontamente identificado e que não há indícios de comprometimento de dados sensíveis. Confira as notas completas no final da matéria.
O incidente teve como consequência a cópia não autorizada de dados pessoais dos seus 7,6 milhões de clientes ativos, além de ex-clientes. Essa violação foi comunicada por meio de um ofício enviado à Comissão de Valores Mobiliários (CVM). A CVP já notificou a ANPD e os demais órgãos competentes.
Segundo a apuração inicial da companhia, o ataque conseguiu extrair nomes completos e CPFs dos clientes. Uma parte dos registros afetados também teve endereços, números de telefone, e-mails e datas de nascimento vazados.
Apesar disso, até o momento não há indicativos de acesso a dados financeiros ou credenciais de autenticação. Isso significa que senhas, informações bancárias, valores de apólices e saldos de previdência continuam intocados. Mesmo assim, é sempre importante trocar senhas e credenciais quando uma plataforma é alvo de um ataque.
Caixa adicionou camadas adicionais de segurança
O comunicado da Caixa Vida e Previdência afirma que, assim que identificou o acesso indevido em seus sistemas, bloqueou as portas de entrada utilizadas no ataque e aplicou camadas de segurança adicionais. Para conduzir uma investigação técnica e rastrear a origem da invasão, a empresa contratou uma consultoria externa especializada em perícia forense.
A companhia também salienta que está monitorando ativamente a internet para identificar publicações ou a própria comercialização dos pacotes de dados vazados.
Para mitigar a situação, a CVP iniciou o envio de comunicados diretos aos clientes que tiveram emails e celulares vazados, assim como grupos considerados vulneráveis. O objetivo da instituição é alertar os clientes sobre o ocorrido e prevenir que eles caiam em golpes, como tentativas de phishing, engenharia social via WhatsApp ou ligações falsas se passando pelo banco.
É sempre importante lembrar que a Caixa não solicita dados pessoais dos clientes, como senhas, por WhatsApp ou chamadas telefônicas.
O que é a CVP?
A Caixa Vida e Previdência é um braço da Caixa Seguridade, responsável por seguros de vida, seguros prestamistas, planos de previdência privada e afins. Para se ter noção do peso dessa subsidiária no mercado nacional, ela atingiu a marca de R$ 200 bilhões em reservas de previdência complementar em 2026.
Dada a grandiosidade da instituição e o fato de bilhões de reais de aposentadorias estarem guardados nos cofres, um ataque direto à CVP extrai dados de pessoas que certamente possuem economias guardadas, gerando alvos mais fáceis aos criminosos.
Posicionamento das empresas
Confira, abaixo, os posicionamentos completos da Caixa Vida e Previdência e da ANPD:
Caixa
“A Caixa Vida e Previdência informa que foi vítima de ataque cibernético, que resultou no acesso não autorizado e na cópia de dados pessoais cadastrais para fora de seu ambiente tecnológico. Não há indícios de comprometimento de dados sensíveis, como informações financeiras, bancárias, senhas ou de autenticação. O incidente foi prontamente identificado e contido, com a adoção de medidas para reforçar a segurança de seus sistemas. As autoridades competentes e os titulares afetados estão sendo comunicados, conforme a legislação. Até o momento, não foram identificadas evidências de divulgação pública ou utilização indevida dos dados envolvidos. O incidente não comprometeu a assistência prestada aos clientes nem a continuidade das suas operações. A companhia reafirma seu compromisso com a segurança da informação, a proteção dos dados pessoais e a transparência”.
ANPD
“A Agência Nacional de Proteção de Dados (ANPD) informa que recebeu comunicado de incidente de segurança por parte da Caixa nessa quarta-feira (11/11) e está verificando as medidas tomadas pela instituição, em especial as relacionadas à transparência e mitigação de possíveis danos aos titulares. A Coordenação-geral de Incidentes de Segurança iniciou a análise da documentação preliminarmente encaminhada, estando o regulado ainda dentro do prazo para complementação das informações. Caso necessário, a Agência acionará a Caixa para prestar esclarecimentos adicionais sobre o incidente reportado”.