Ataque hacker à Caixa Vida e Previdência expõe dados de 7,6 milhões de clientes

A Caixa Vida e Previdência (CVP), empresa de seguros e previdência ligada à Caixa Seguridade, informou nesta quinta-feira (12/11) que foi vítima de um ataque hacker. Segundo a empresa, houve acesso não autorizado e cópia de dados pessoais e cadastrais de sua base, que inclui os 7,6 milhões de clientes ativos — além de ex-clientes. O acesso foi identificado em 06/11, e o caso foi comunicado à Autoridade Nacional de Proteção de Dados (ANPD) e a outras autoridades em 11/11, de acordo com o comunicado da Caixa Seguridade.

A informação foi divulgada pela Caixa Seguridade e repercutida pelo InfoMoney e pelo Exame nesta quinta-feira. A dimensão do episódio chama a atenção: nome e CPF são os dois dados que mais facilitam fraudes de identidade no Brasil, e a base atingida corresponde à totalidade dos clientes ativos da companhia.

O que foi exposto — e o que não foi

Segundo a Caixa Seguridade, os dados copiados foram nomes e CPFs e, em parte dos registros, endereços, telefones, e-mails e datas de nascimento. A empresa não detalhou em que proporção cada tipo de dado aparece além de nome e CPF, nem informou quantos ex-clientes estão entre os afetados — apenas que a base cadastral inclui clientes e ex-clientes.

Do outro lado, a apuração preliminar traz um alívio parcial: não há indícios de comprometimento de dados financeiros ou de autenticação. Valores de apólices, saldos de previdência, dados bancários e senhas não estariam entre as informações copiadas, segundo a empresa. A investigação continua, e a própria companhia ressalva que a conclusão é preliminar — ou seja, o quadro pode ser atualizado conforme a apuração avance.

A distinção importa porque muda o tipo de risco. Sem senhas ou dados bancários, o invasor não consegue entrar direto na conta do cliente nem movimentar valores. Mas, com nome, CPF, telefone, e-mail e data de nascimento em mãos, ele consegue montar golpes convincentes — e é aí que mora o perigo maior deste vazamento.

Como o caso foi descoberto e comunicado

O acesso não autorizado foi identificado em 06/11. Cinco dias depois, em 11/11, a empresa comunicou o incidente à ANPD e às demais autoridades competentes, além de avisar os titulares afetados. O anúncio público veio no dia seguinte, 12/11, por meio do comunicado da Caixa Seguridade.

Não foram divulgados detalhes sobre como o acesso aconteceu — se por falha de sistema, credencial comprometida ou outro vetor — nem sobre quem estaria por trás do ataque. A empresa também não informou se houve pedido de resgate ou se os dados chegaram a ser publicados ou vendidos.

O comunicado à ANPD segue o que prevê a Lei Geral de Proteção de Dados para incidentes que possam gerar risco aos titulares. A autoridade passa agora a acompanhar o caso, e a empresa deve prestar os esclarecimentos que forem solicitados ao longo da apuração.

O risco para os clientes: golpes com os dados vazados

Mesmo sem senhas ou dados bancários, a combinação de nome, CPF, telefone, e-mail e data de nascimento é suficiente para golpes de engenharia social. Com esses dados, criminosos conseguem se passar pela empresa em ligações, mensagens e e-mails — e tentar convencer a vítima a confirmar códigos, clicar em links ou transferir valores. É o tipo de fraude que mais cresce no país justamente porque usa informações verdadeiras para parecer legítima.

O golpe típico começa com uma mensagem ou ligação que já traz os dados certos: nome completo, CPF e até a data de nascimento. A partir daí, o criminoso cria urgência — uma suposta irregularidade na apólice, uma atualização cadastral obrigatória, um resgate de valores — e pede que a vítima faça alguma coisa na hora. Quem recebe a mensagem sem saber do vazamento tem muito mais chance de acreditar.

Por isso, o alerta vale mesmo para quem não é mais cliente. Como a base inclui ex-clientes, quem já teve apólice de seguro ou plano de previdência na Caixa Vida e Previdência também pode estar entre os afetados — e também pode ser alvo das tentativas de golpe nas próximas semanas.

O que fazer agora

A primeira regra é desconfiar de qualquer contato que peça senha, código de verificação ou transferência de valores. Nenhum banco ou seguradora pede esses dados por telefone, mensagem ou e-mail. Se a ligação parecer vir da empresa, desligue e procure os canais oficiais por conta própria — nunca use os links ou números enviados na própria mensagem suspeita.

A segunda é não clicar em links de mensagens sobre “regularização”, “atualização cadastral” ou “resgate de valores”. O endereço verdadeiro do site da empresa deve ser digitado diretamente no navegador ou acessado pelo aplicativo oficial, baixado nas lojas oficiais.

Também vale ativar a verificação em duas etapas nos aplicativos do banco e da seguradora, acompanhar extratos e faturas com mais frequência nos próximos meses e cadastrar alertas de movimentação, quando disponíveis. Se surgir qualquer cobrança, contrato ou conta que o cliente não reconhece, o caminho é registrar ocorrência e procurar os canais de atendimento da empresa — e, se necessário, os canais da ANPD.

Outro vazamento na mesma semana

Os clientes da Caixa Vida e Previdência não são os únicos afetados por vazamentos nesta semana. O Tesouro Nacional confirmou o vazamento de dados de 30 mil cadastros e 4 mil chaves Pix — um episódio distinto, com escala e origem diferentes, que também foi comunicado às autoridades. São dois casos separados, mas o alerta é o mesmo: dados cadastrais vazados alimentam golpes por meses.

Os incidentes recentes também incluem o ataque cibernético que tirou os sistemas do Porto de Santos do ar e a falha que deixou 17 mil câmeras abertas sem senha em São Paulo. A sequência mostra que o problema não é isolado: empresas e órgãos públicos de todos os tamanhos têm sido alvo de ataques e falhas de segurança — e os dados dos cidadãos acabam no meio.

Enquanto a apuração do caso da Caixa Vida e Previdência continua, a recomendação é tratar qualquer contato em nome da empresa com desconfiança e confirmar informações apenas nos canais oficiais. O vazamento já aconteceu; o prejuízo maior, agora, depende de quantas pessoas os golpistas conseguirem enganar com os dados que levaram.