Tesouro Nacional confirma acesso indevido a 30 mil cadastros e alerta para golpes

O Tesouro Nacional confirmou nesta sexta-feira (13) que um acesso indevido expôs nome, CPF e e-mail de cerca de 30 mil cadastros. Quem tem cadastro nos serviços do Tesouro deve desconfiar de mensagens que peçam dados, senhas ou pagamentos.

O incidente foi identificado em 4 de novembro, segundo nota que a Secretaria do Tesouro Nacional publicou por exigência da Lei Geral de Proteção de Dados (LGPD). Os cadastros atingidos são do e-Serviços, portal usado para pedir e acompanhar serviços do órgão.

Também foi acessada uma base interna de consultas analíticas. Ela reunia cerca de 4 mil chaves Pix de pessoas que recebem pagamentos do governo federal, com dados relacionados a esses pagamentos.

O risco, segundo o próprio Tesouro, é que esses dados sejam usados para tornar mais convincentes contatos fraudulentos. Com nome, CPF e e-mail em mãos, um golpista pode montar uma mensagem com aparência oficial.

“Reforçamos que não houve qualquer impacto financeiro e que nenhum sistema estruturante do Tesouro Nacional foi afetado”, afirmou a secretaria na nota. O órgão disse que o acesso foi contido, que o monitoramento da rede foi reforçado e que abriu uma investigação técnica para saber a origem e a extensão do caso.

O caso foi comunicado à Agência Nacional de Proteção de Dados (ANPD) e ao Centro de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos de Governo (CTIR Gov). Na nota, o Tesouro atribuiu os nove dias entre a descoberta e o aviso ao tempo necessário para confirmar o incidente, investigar e conter o acesso.

Parte dos serviços do órgão continua fora do ar. Segundo comunicado divulgado na tarde desta sexta, estão indisponíveis as ferramentas que exibem documentos, séries e consultas no site do Tesouro Nacional e no portal Tesouro Transparente. A secretaria afirmou que isso não significa que todos esses sistemas tenham sido atingidos.

A previsão é normalizar os serviços até a manhã de segunda-feira, 16 de novembro, depois das verificações e da correção das falhas encontradas. No meio do caminho fica o domingo (15), feriado nacional da Proclamação da República; a segunda-feira é dia útil normal.

As operações da Dívida Pública Federal seguem normalmente, de acordo com o comunicado. Quem acompanha os leilões de títulos públicos e não consegue usar a consulta interativa do site encontra a base de dados na página de leilões do Banco Central.

Para conferir se há chaves Pix registradas no seu CPF sem o seu conhecimento, o Registrato, do Banco Central, mostra de graça as chaves cadastradas no seu nome. O roteiro lembra o do golpe do falso advogado, que usa dados verdadeiros para parecer oficial: na dúvida, procure o órgão pelo canal oficial.

Se o golpe já aconteceu, a contestação do Pix é feita no aplicativo do próprio banco, em até 80 dias depois da transferência. O caminho é o Mecanismo Especial de Devolução, previsto nas regras do Pix do Banco Central.

Dúvidas sobre o incidente vão ao encarregado de dados pessoais do Ministério da Fazenda, pelo Fala.BR, a plataforma de ouvidoria do governo federal.